Как аутентифицировать настольное приложение FLEX / AIR на удаленном сервере (CAKEPHP)? - PullRequest
3 голосов
/ 21 апреля 2011

У меня есть приложение Adobe AIR / FLEX, упакованное как собственное приложение установщика, работающее на рабочем столе. Оттуда мне нужно сделать следующее: а) оставаться в изолированной программной среде приложения "app:", чтобы я мог загрузить файл "::" JPG в свой элемент управления mx: HTML b) пройти аутентификацию на моем сервере (CAKEPHP), чтобы получить действительный файл cookie сеанса CAKEPHP, и c) безопасно получать запросы GET / POST XHR из javascript.

Могу ли я проходить аутентификацию, используя OAUTH или Facebook Connect, не теряя изолированную программную среду приложения? Кажется, если я перенаправляю из своего mx: HTML, я теряю свои локальные привилегии.

Могу ли я пройти аутентификацию на своем сервере, используя другую (удаленную?) Изолированную программную среду и безопасно передать Session Cookie в свою изолированную программную среду приложения?

Является ли любой из этих методов безопасным от атак сценариев?

1 Ответ

0 голосов
/ 16 июля 2011

Могу ли я проходить аутентификацию, используя OAUTH или Facebook Connect, не теряя изолированную программную среду приложения?Кажется, что если я перенаправляю из своего mx: HTML, я теряю свои локальные привилегии.

Могу ли я пройти аутентификацию на своем сервере, используя другую (удаленную?) Изолированную программную среду и безопасно передать Session Cookie в свою изолированную программную среду приложения?

Я не знаю Air / FLEX, но, безусловно, вы можете без проблем интегрировать OpenID / OAUTH / Facebook Connect в экран регистрации / входа в приложение для торта, а затем использовать его для аутентификации ваших пользователей.

Я бы не перенаправлял, а использовал бы методы post / get для отправки данных для входа в приложение для торта (users / login), чтобы убедиться, что нет никаких представлений / макетов, отображаемых для login (), и вернуть данные сеанса пользователя (json_encode для$ this-> Auth-> user).

Является ли любой из этих методов безопасным от атак сценариев?

Они могут быть, если вы убедитесь, что функция login ()доступно только приложению, возможно, отправляет уникальный идентификатор, шифрует данные (через SSL или просто сериализует его).Также добавлены стандартные проверки для XSS, что методы для задержки bruteforce и cake действительно имеют несколько хороших методов очистки для работы с инъекциями (обычно включенными по умолчанию).

...