Аутентификация секретного ключа в salesforce.com

Question

Есть ли хороший способ выполнить аутентификацию по секретному ключу для запросов http из приложения salesforce на мой собственный веб-сервер? Другими словами, я хотел бы предоставить каждой компании, которая устанавливает наше приложение, свой собственный секретный ключ. Тогда каждый http-вызов приложения на наш сервер (будь то json или просто ссылка на размещенный iframe) будет выглядеть примерно так:

groupid = groupid 
param1 = value1
param2 = value2
signParam = signValue

Где signValue = md5("groupid=groupid,param1=value1,param2=value2,secretKey"

Затем, когда я получаю запрос, я также вычисляю подпись, чтобы убедиться, что она совпадает, прежде чем выполнять какие-либо действия на нашем веб-сервере. Проблема в том, что я не понимаю, как назначить и сохранить секретный ключ для каждой компании, которая устанавливает наше приложение (то есть, чтобы они сохранили секретный ключ при установке).

Есть ли хороший способ сделать это, что я скучаю? И если это невозможно в Salesforce, как еще вы проверяете подлинность веб-запросов перед выполнением действий на своем собственном сервере?

Answer 1

Вместо того, чтобы пытаться отследить его со стороны salesforce, попросите сторону salesforce отправить идентификатор пользователя sessionId на ваш веб-сервис, затем вы можете использовать API для проверки того, что sessionId получит информацию о пользователе, и локально проверить, что конкретный пользователь / организация имеет лицензию. На вики developerforce есть несколько статей об использовании этого подхода.