1

Имею два сайта (web apps) в Azure, написанные под ASP NET. Хочу реализовать такой сценарий: пользователь регистрируется на одном из них и затем, будучи авторизованным, получает возможность взаимодействовать с ним через другой, т.е. сайт 2 получает "токен доступа" (аналогия с протоколом OAuth) от сайта 1, посредством которого возможно будет изменять состояние на сайте 1 и отображать результат операции на сайте 2.

Мой вопрос достаточно общего характера: как это можно реализовать, в сторону чего "копать"? Я не имею серьезного опыта в написании API, поэтому пугаюсь, выбирая между OAuth-сервером, Azure Management API, Azure API apps. Что лучше подойдет?

2
  • уточните, подойдет для чего? Commented 14 февр. 2017 в 22:46
  • @Mikhail Vaysman для реализации описанного сценария: а) возможности аутентифицировать нашего пользователя посредством сайта 1 б) последующей возможности использовать сайт 2 для взаимодействия с 1ым Commented 14 февр. 2017 в 22:50

1 ответ 1

1

Если вам необходимо связать только эти 2 приложения, то oauth вам не нужен.

  • На каждой стороне в таблице или в памяти сессии организуйте массив
    хеш-кодов.
  • При вызове API инициатор генерирует несложный хеш-код, сораняет его (с меткой времени) в массиве хеш-кодов и передает вместе с запросом API собеседнику (второй системе).
  • Собеседник, получив запрос, отправляет инициатору (на известный ему endpoint, а не на адрес инициатора запроса) запрос на подтверждение хеш-кода
  • Инициатор проверяет хеш-код - ищет его в своем массиве, если находит - подтверждает и код удаляет, не находит - не подтверждает
  • Собеседник действует исходя из подтверждения инициатора.
  • И если есть возможность обеспечить статическими IP обе системы (что далеко не всегда в cloud-системах) - сразу без разговора отбрыкиваем запросы, пришедшие от неизвестных IP

Для полного счастья реализовать удаление устеревших хеш-кодов - при очередном прохождении массива хеш-кодов удалить те, на которые не было запроса подтверждения в течение скажем 2 минут.

Если систем станет более 2-х - тогда запросы на подтверждение хеш-кода отправляем на все известные endpoint.

Уверен что так реализовать проще и надежнее, чем любую систему на основании цифровой подписи.

7
  • Я тут вообще задумался, это хорошая практика позволять стороннему приложению (вынесем за скобки, что в данном сценарии это мое же приложение, доверенное) изменять состояние моих клиентов? Пусть они даже авторизовались в этом стороннем приложении (через меня), а клиент API получил токен, но ничто не помешает ему(потребителю API) начать злоупотреблять и отправлять мне запросы от имени клиента. Commented 15 февр. 2017 в 10:56
  • как вы себе это представляете? потребитель API может сделать только то что позволяет ему интерфейс точек входа и схемы данных API Commented 15 февр. 2017 в 11:00
  • я могу позволить этому конкретному приложению ,через токен, скажем, менять аватар конкретного пользователя. Ничего же не помешает приложению сформировать такой запрос без ведома самого пользователя. Или это все из области паранойи? я просто никогда еще не строил такую архитектуру, поэтому задаю, возможно, глупые вопросы Commented 15 февр. 2017 в 11:06
  • к восстанию машин уже готовимся? :-) Commented 15 февр. 2017 в 11:07
  • описанный мною сценарий на самом деле спорный, я хотел свежую идею подкинуть :-) если обращение к API между системами предполагается очень интенсивным - нужно тогда пойти по классическому пути - обмен секретными ключами, генерация открытого токена с последующей его проверкой на стороне API - цифровая подпись то есть Commented 15 февр. 2017 в 11:10

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.