Tiêu chuẩn với oAuth để ghi nhớ người dùng là gì?

Question

Tôi và đồng nghiệp của tôi đang phát triển một ứng dụng (cả ứng dụng web và ứng dụng di động (iPhone & android)), bao gồm quy trình đăng nhập. Hiện tại, chúng tôi có cơ chế đăng nhập riêng của chúng tôi (nơi người dùng đã ký một tài khoản trên ứng dụng của chúng tôi và đã lưu trữ thông tin của họ trong Cơ sở dữ liệu của chúng tôi). Chúng tôi đang xem xét tích hợp oAuth và cho phép người dùng đăng nhập bằng Facebook, Twitter, LinkedIn và Google.

Bây giờ, khi người dùng đăng nhập bằng bất kỳ thông tin nào trong số đó, vì tôi hiểu quy trình đăng nhập diễn ra bên ngoài ứng dụng của chúng tôi và về cơ bản chỉ được phép truy cập tài nguyên của họ.

Câu hỏi của tôi là: thông qua oAuth, làm thế nào để chúng ta nhớ người dùng? tức là người dùng đăng nhập có quyền đọc/ghi và có tùy chọn. Làm thế nào để chúng ta nhớ những người khi họ không thực sự đăng ký thông qua ứng dụng của chúng tôi .. Chúng tôi có thể lưu trữ địa chỉ email của họ trong bảng "Người dùng" của chúng tôi không ??

Thực tiễn tốt nhất trong trường hợp như vậy là gì?

Cảm ơn bạn đã cung cấp bất kỳ thông tin nào.

Answer 1

Có cơ sở dữ liệu xác thực được xây dựng cho một vài trang web hỗ trợ OAuth khác nhau, tôi có thể nói rằng tôi đã học được một vài điều mà bạn nên ghi nhớ.

1. Bạn nên có bảng người dùng cho trang web của bạn hoàn toàn độc lập với nhà cung cấp OAuth mà họ đã sử dụng để đăng ký/đăng nhập. Điều này cho phép người dùng trang web của bạn kết hợp nhiều tài khoản với nhau theo nhận dạng chính của họ trên trang web của bạn. (Ví dụ: liên kết cả Facebook và Twitter với bạn.)
2. Khi bạn cho phép người dùng đăng ký, bạn sẽ nhận được địa chỉ email từ họ. Cho dù bạn hỏi Facebook cho nó, hoặc nếu bạn phải hỏi trực tiếp. Điều này cho phép bạn "nâng cấp" người dùng sau này tùy thuộc hoàn toàn vào OAuth của bên thứ ba để đặt mật khẩu của riêng họ trên trang web của bạn. (Bạn chỉ cần gửi cho họ liên kết đến trang đặt lại mật khẩu của bạn để họ bắt đầu tạo mật khẩu đầu tiên.)
3. Bạn không muốn sử dụng địa chỉ email làm khóa chính của mình. Tôi không chắc đó có phải là điều bạn đang mô tả hay không, nhưng bạn thực sự muốn họ có một ID người dùng cục bộ mà bạn sử dụng để duy trì phiên của họ, v.v. Sau đó, bạn kết hợp ID Facebook hoặc ID Twitter của họ với địa phương đó ID và sử dụng sự tương ứng giữa các số nhận dạng đó để khớp với những người dùng trang web của bạn để xem xét đăng nhập.