2

Прикручиваю авторизация через соц. сети и не могу понять, можно ли определить, что пользователь уже вышел из аккаунта, через который авторизовался.

Ну, то есть, я зашел на сайт, например, через Фэйсбук. Собрался уходить с компа, - разлогинился в Фейсбуке. Может ли сайт это понять: пусть не отловить сам момент разлогинивания, но тот факт, что когда к нему обращаются, пользователя в Фэйсбуке уже нет?

5
  • Если при входе через соц. сеть вы не будете на самом сайте сохранять, например, куки, что пользователь залогинился, а всякий раз будете запрашивать статус через oauth, то, само собой, вы узнаете, вышел пользователь или нет.
    – Gino Pane
    4 апр 2016 в 11:47
  • я правильно понимаю, что каждый раз будет вызываться диалог с этой соц.сетью? тихо же она не подтвердит?
    – splash58
    4 апр 2016 в 11:49
  • Зависит от того, чем вы пользуетесь. Если всё реализуется вручную, то на php посылается запрос к oauth соц. сети. Если юзер залогинен, то в ответ придет id юзера, токен и т.д. Если не залогинен, то вернется другой статус и, скорее всего, ссылка, куда нужно перейти для логина. И тут уже от вас зависит, что делать с этой ссылкой и информацией. Хотите вызвать диалог логина - делаете редирект на ссылку, не хотите - игнорируете ее и выполняете другую необходимую логику.
    – Gino Pane
    4 апр 2016 в 12:02
  • это хорошо, спасибо. буду копать в этом направлении. Поскольку я использую библиотеку у себя для авторизации, а не внешний сервис, то, возможно, и получится. Если хотите, напишите как ответ, мне это подсказало ход действий, так что я его отмечу, как правильный :)
    – splash58
    4 апр 2016 в 12:05
  • Да не стоит, думаю. Извините, был немного не точен: правильнее для проверки использовать конкретные методы от используемых сайтов. Например, для Твиттера есть метод API verify_credentials, куда можно отправить предварительно сохраненные данные пользователя и проверить статус логина, для Wargaming API - /wot/auth/prolongate/, ну и т.д. Там всё индивидуально. И, как отметил в своем ответе D-side, часто делать такие проверки непрактично. Поэтому решите, действительно ли вам это нужно.
    – Gino Pane
    4 апр 2016 в 12:51

1 ответ 1

3

Как правило, не может.

Подобная аутентификация основана на авторизации пользователем доступа к его идентификационным данным в стороннем источнике (будем его называть соцсетью). И сам факт такой аутентификации сообщает сайту (клиенту OAuth2) только то, что "в соцсети Х (провайдере OAuth2) у этого пользователя идентификатор Y", из чего, скажем, сайт может сделать вывод, что "у нас это пользователь с идентификатором Z, будем считать его таковым" (если ранее пользователь Z на этом же сайте указал, что по паре X-Y его можно опознать, это т. н. "привязка аккаунта соцсети").

В типичных системах аутентификации такому пользователю выдаётся сессия, удостоверяющая его, как Z на сайте, и эта сессия существует до тех пор, пока не перестанет быть действительной для сайта (не соцсети!):

  • ...при явном уничтожении ("Выход" с сайта или отзыв сессий сервером по внешним причинам)
  • ...по времени (время жизни сессий обычно ограничено)

OAuth2 заключается в передаче токена от соцсети (через браузер) сайту. После того, как передача состоялась, соцсеть и сайт взаимодействуют напрямую и не думают о браузере.

Если человек на этом компьютере выйдет из аккаунта соцсети, то "порвётся" только связь браузер-соцсеть. Сайт в ней не участвует, и об этом факте он узнает, только если снова явно спросит, снова инициировав вход по OAuth2. Который через связь браузер-соцсеть попытается "установить личность" и получит отказ, т. к. такой связи в этом браузере больше нет. Но чтобы это произошло, вам придётся каждый раз гнать пользователя через всю процедуру OAuth2, считая, что удостоверение от соцсети действительно всего на один запрос. Это будет примерно как если бы после любого запроса пользователь жал "Выход". Не очень-то практично.

Ситуация обстоит чуть иначе, если пользователь отзовёт доступ приложения к его данным из интерфейса соцсети. Тогда прямая связь соцсеть-сайт должна перестать функционировать, о чём сервер может узнать и инвалидировать сессию. Но соцсеть, опять же, сообщать об этом не обязана (по OAuth2), и в этом случае сайт будет вынужден постоянно опрашивать соцсеть (мы уже приехали мне всё ещё можно данные?), что тоже не очень-то практично.

1
  • Спасибо. я примерно так и понимал, но вы мне немного ясности добавили.
    – splash58
    4 апр 2016 в 14:58

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.