Можно ли каким-либо образом использовать recaptcha с auth0, чтобы избежать входа пользователя, но при этом иметь токен? - PullRequest
Новая
       30

Можно ли каким-либо образом использовать recaptcha с auth0, чтобы избежать входа пользователя, но при этом иметь токен?

0 голосов
/ 04 декабря 2018

У меня есть приложение на стороне клиента, которое использует auth0 для доступа к различным API на сервере.Но теперь я хочу добавить другое приложение, одностраничное приложение, я собираюсь использовать VueJs, и это приложение будет открыто "идеально" без необходимости входа в систему, это как демонстрационная версия с ограниченной функциональностью, я простохочу убедиться, что пользователь не робот в принципе, поэтому я не раскрываю свой API в этих случаях.

Мои идеи на данный момент:
- Каким-то образом вообще использовать recaptcha и auth0.
-Затем создайте новый сервер, который подтвердит, что вызовы осуществляются только на разрешенные конечные точки (это не представляет моего интереса в этом вопросе), так что даже если каким-либо образом аутентификация уязвима, она не оставляет реальный сервер открытым для всех типов.вызовов.
- передать вызов на сервер вместе с токеном на предъявителя, как если бы я делал это с другим моим старым клиентским приложением.

Это жизнеспособно?Теперь я заставляю пользователя проверять, это больше касается UX (пользовательского опыта), но я бы хотел избежать этого.Я знаю, что только с auth0 я не могу сделать это см. Этот пост от Auth0 , поэтому я ожидал смешивания между тем, что я упомянул.

EDIT:
I 'Я придерживаюсь валидации в обоих случаях, но мне все еще интересно узнать мнение об этом в качестве будущих ссылок.

1 Ответ

0 голосов
/ 11 декабря 2018

В конце, с самой концепцией того, как работает auth0, эта идея не возможна, поэтому мой подход был следующим: дать временному аутентифицированному посетителю (auth 0) токен с ограниченным уровнем доступа, а затем передать запросновый промежуточный сервер, идея состоит в том, чтобы зашифровать реальные идентификаторы, чтобы внешний интерфейс решил, что он запрашивает проект A123456etc, когда он действительно будет расшифрован на промежуточном сервере для проекта 456y-etc и, получив белый список, решит передать запрос вместес помощью токена на конечном сервере последний сервер имеет меры для уменьшения угроз xss и Ddos.

Во всяком случае, если есть лучшее решение, я изменю принятый ответ.

...