Мое веб-приложение будет запущено через существующие толстые клиентские приложения. При запуске будет сгенерирован HTTP-запрос POST, включающий информацию, такую как userID и дополнительную информацию о контексте (в основном такие вещи, как имя целевого пользователя, день рождения и т. Д.).
Мой план аутентификации заключается в том, чтобы в базе данных была таблица поиска. Если имя пользователя уже существует, автоматически войдите в систему, но если в базе данных нет записи, перенаправьте пользователя на начальную страницу входа, которая будет использоваться для создания этой записи в базе данных.
Мой вопрос заключается в том, как обезопасить это от MITM и других дыр в безопасности. Как запрос, генерируемый через толстый клиент, может быть подключен через SSL? Разве SSL-соединение не должно быть сначала аутентифицировано с именем пользователя (и паролем)? И если так, будет ли публичная информация о дополнительном контексте открыта до тех пор, пока пользователь не войдет в систему?
Извините, если это основной вопрос безопасности. Ссылки на то, где можно прочитать об основах безопасности, также будут высоко оценены.