8

Здравствуйте. Никогда ранее не сталкивался с написанием API для сайта. С получением общих данных вроде как разобрался.

Не понятен один нюанс: человек установил приложение. В приложении два поля : логин и пароль . Ввел и отправил .. Все окей, данные верны.

А что дальше должно происходить, чтобы попасть в ЛК: должны куки запоминаться на телефоне, сессии или что ? Уже перечитал инфы и что-то не могу понять вообще.

Спасибо

1 ответ 1

7

Обычно для авторизации в API используют механизм OAuth2. Суть в том, что ваш сервер при получении авторизационных данных должен отдавать клиенту шифрованный token, который в последствии клиент будет передавать с запросами в заголовках, по этому токену вы и будете определять клиент. Вот ссылка на пакет OAuth2 сервера на чистом PHP. https://packagist.org/packages/league/oauth2-server Так же если хотите вы можете воспользоваться механизмом JWT Json Web Token - тоже некоторая альтерантива OAuth2 тоже довольно популярная - логика такая же клиент посылает авторизационные данные вы выдаете ему JWT который в последствии он использует для обращения пока у тог оне пройдет срок годности. Вот популярный пакет про JWT https://packagist.org/packages/lcobucci/jwt В общем случае особое внимание надо уделять механизму обновления токенов, когда они expire'ятся так как обычно API - приложение многопоточное, таким образом у вас может произойти ситуация когда два запроса придут один за одним с просроченным token'ом - и эт у ситуацию надо как-то решать. В простом случае на update токена, если он уже идет должна быт ькакая-то блокировка и новый токен можно записать в БД со сроком истечения, в то же время заблокирвоанный запрос должен получить заголовок, требующий его обратится за token'ом снова и так пока не будет в базе доступен новый токен.(это как пример решения проблемы конкурентных запросов с просроченным токеном)

6
  • А в чем отличие логики передачи токена от использования простой сессии (передачи куки phpsessid)? Думаю вопрос где-то в безопастности, но вот где разница не пойму Commented 27 мар. 2018 в 17:36
  • Механизм протухания сессии не такой явный, как у токена, во-вторых cookie/session механизмы рассчитанные более на браузеры, так как там весь этот функционал работает из коробки, в других приложениях такое из коробки работать не будет. вот есть полезная ссылочка security.stackexchange.com/questions/20222/… Commented 27 мар. 2018 в 17:44
  • А токен хранится в телефоне пользователя и остается там даже после перезагрузки телефона, я правильно понял? Commented 27 мар. 2018 в 18:01
  • Токен хранится в storage на телефоне, до тех пор пока он не "протухнет". Токены обычно выдаются на ограниченный срок: 15 минут, час, сутки, неделя. Commented 27 мар. 2018 в 18:06
  • Токены валидны в течении этого срока, очень часто срок зашифрован внутри токена и проверить протух он или нет можно уже на этапе расшифровки - это точно верно для JWT, так как внутрь этого токена пишут определенные метаданные. Когда токен умирает при запросе клиентом(под клиентом имеется ввиду любое приложение - на телефоне, в браузера standalone js, desktop) вы выбираете одну из двух стратегий - молча обновить токен и отдать новый токен с новой датой истечения, либо попросить заново авторизоваться. Commented 27 мар. 2018 в 18:06

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.