Как разработана аутентификация? - PullRequest
1 голос
/ 24 февраля 2020

Для многих приложений, над которыми я когда-либо работал. После успешной регистрации и сеанса, который все еще активен, если пользователи попытаются получить доступ к странице входа / регистрации непосредственно с помощью адресной строки браузера, они будут перенаправлены на панель мониторинга или домашнюю страницу. Я просто слежу за некоторыми существующими приложениями, такими как Goolge, возможно.

Но какова основная причина этого потока? Вносит ли это какую-либо угрозу безопасности, если пользователи все еще могут получить доступ к входу / подписке, когда их сеансы все еще активны?

Ответы [ 3 ]

0 голосов
/ 25 февраля 2020

Решение об отдельной странице входа или перенаправлении пользователя на другую страницу зависит от варианта использования или требований, которые у вас есть для вашего сайта. Он напрямую связан с функциональностью, которую вы хотите предоставить пользователям.

Он предназначен главным образом для обеспечения функционального разделения, так что страница входа предназначена специально для входа в систему, а на странице панели инструментов или домашней странице отображаются данные учетной записи. или другую связанную информацию вашей домашней страницы. Он также может быть использован в целях безопасности.

Функционально, наличие страницы входа пользователя и панели инструментов на той же странице может иметь свои собственные проблемы, основанные на другой обработке, выполняемой вами в соответствии с вашим вариантом использования. Рассмотрим сценарий, в котором электронное письмо отправляется всякий раз, когда вы входите в систему, а также выполняется дополнительная обработка на основе процедуры входа в систему. Каждый refre sh на опубликованной странице будет регистрировать пользователя снова. В таком случае каждое обновление страницы панели инструментов будет вызывать отправку электронного письма, а также выполнять дополнительную обработку, которая может быть нежелательной. С точки зрения безопасности, в зависимости от ваших требований, вы можете перенаправить URL-адрес на основе шаблона PRG (Post-Redirect-Get) на страницу с ограниченным доступом или гостевую страницу пользователя, вместо того, чтобы иметь главную домашнюю страницу при отсутствии проверки подлинности. логины пользователей или на основе типа подписки пользователя.

Следует также отметить, что наличие механизма входа в систему, интегрированного в главную страницу, также имеет преимущество, основанное на требованиях вашего веб-сайта, поскольку он обеспечивает возможность входа без потери контекст того, что делает пользователь, который полностью зависит от требований к вашему сайту. Тем не менее, отдельная страница входа в систему имеет преимущество в том, что ее проще реализовать, а также для страниц, которые содержат конфиденциальную информацию, вы можете просто перенаправить на страницу входа в систему, вместо того чтобы беспокоиться о визуализации интерфейса без контекста действительного сеанса.

0 голосов
/ 25 февраля 2020

Вам, вероятно, следует поискать «OAUTH2» или аналогичное программное обеспечение для авторизации (остерегайтесь не аутентификации), которое может распространять информацию о токенах и кто может их использовать где и когда. (довольно сомнительно, поэтому я оставлю эту ссылку здесь, но вы должны действительно копать глубже для себя)

https://docs.apigee.com/api-platform/system-administration/using-oauth2

0 голосов
/ 24 февраля 2020

Это больше удобство использования, чем безопасность. Разработчики приложили немного дополнительных усилий для реализации подобных вещей. Вот пример, как они это делают .

...