3

Предположим, есть достаточно большой проект, сердцем которого является некое API. Технологии не важны, но для контекста: PHP7 и GraphQL.

Далее есть некие клиенты, которые работают с API:

  • CLIENT1 - панель управления (админка) / ReactJS
  • CLIENT2 - клиент для гостей / PHP
  • CLIENT3 - личный кабинет для зарегистрированных / ReactJS
  • CLIENT4 - блог / PHP
  • ...

Сейчас аутентификация пользователя на API происходит через JWT-token. Если вкратце, то мы делаем некий запрос с логином и паролем, получаем некий токен и с помощью него делаем уже авторизованные запросы.

Далее я столкнулся со следующим вопросом: а как аутентифицировать клиенты?

API имеет ряд запросов, которые не покрывает JWT, тоесть данные по этим запросам можно получить без аутентификации. Например пользователь заходит на CLIENT4, CLIENT4 в свою очередь делает запрос на API, получает список статей и показывает их пользователю (пользователь может быть гостем). Тут все верно.

Однако остается и такой вариант, когда пользователь может миновать CLIENT4, сделать запрос к API и получить данные на прямую. Вопрос заключается в том, как лучше всего закрыть API от всех прямых запросов и дать доступ только определенным клиентам?


Некоторые дополнительные размышления.

  1. Хорошим и безопасным вариантом было бы ограничить доступ и сделать API локальным, однако некоторые клиенты могут быть на другом сервере или требовать внешний доступ (например мобильные устройства).

  2. Я отказался от использования протокола OAuth2, так-как по сути в проекте нет 3 стороны. Поэтому получается не совсем то, что нужно.

  3. Единственный вариант пока приходит в голову, это некий дополнительный токен, который хранит каждый клиент и получает доступ к API подставляя в каждый запрос.


Собственно хотелось бы получить советы/рекомендации, возможно ссылки на технологии/протоколы, которые упустил.

2
  • Мне кажется тут всё просто: пользователь логинится, и получает ключ (чтобы в дальнейшем при входе в приложение не вводить по нескольку раз пользователь и пароль), используя ключ, мы получаем ключ доступа к api (на определенный срок к примеру), каждый запрос использует этот ключ где и идет проверка его актуальности.
    – RifmaMan
    24 сен 2018 в 11:27
  • есть нюанс. Некоторые запросы должны быть доступны без авторизации пользователя, но с авторизацией клиента.
    – Nepster
    14 окт 2018 в 14:15

1 ответ 1

0

Подумайте в сторону авторизации по сертификату. Генерируете каждому клиенту самоподписанный сертификат. Настраиваете apache2, nginx и тп (не знаю что у Вас служит сервером) на допуск к определенным URL по сертификатам. В особо защищенных случаях требуете от клиента подписывать каждый свой запрос к серверу своим приватным ключом, проверяете подпись на стороне сервера публичным ключом клиента (т.к сертификат выдаете Вы то у Вас он есть).

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.