Bảo mật API REST với Facebook OAuth

Question

Tôi đang xây dựng một ứng dụng/API cho phép người dùng đăng nhập bằng Facebook, Twitter hoặc Google. Tôi tự hỏi thực tiễn tốt nhất trong việc cho phép những người dùng đó sử dụng cùng một tài khoản để đăng nhập vào API là gì.

1. Một vài ý tưởng mà tôi đã có là chuyển mã thông báo xác thực/cookie trong tiêu đề tới API cho mọi yêu cầu và sử dụng để xác thực trên chương trình phụ trợ.
2. Chạy thiết lập OAuth của riêng tôi và làm cho người dùng xác thực một lần với mặt sau để lấy mã thông báo OAuth của tôi và sử dụng mã thông báo đó từ đó.

Answer 1

Tôi đang làm điều tương tự và giải pháp của tôi là khớp với địa chỉ email bạn nhận được từ các API tương ứng này.

Đối với Facebook, bạn cần có sự cho phép đặc biệt của người dùng cuối để đăng ký địa chỉ email tại đó. Bạn làm điều này bằng cách thêm &scope=email vào yêu cầu oauth đầu tiên.

Một bất lợi là bạn cần nhận được sự cho phép này từ người dùng cuối và họ có thể từ chối. Một bất lợi khác là người dùng cần phải sử dụng cùng một địa chỉ email cho Google, Facebook và Twitter.

Lợi thế là bản ghi người dùng được hợp nhất tự động, để người dùng có thể truy cập trực tiếp tất cả dữ liệu của họ nếu họ đăng nhập lần đầu qua Google và lần thứ hai thông qua Facebook.

Một cách tiếp cận khác sẽ là hợp nhất dữ liệu của họ theo cách thủ công bằng cách khiến họ đăng nhập vào Google khi họ đã đăng nhập thông qua Facebook. Sau đó, bạn có thể kết luận rằng họ là cùng một người dùng, ngay cả khi họ sử dụng các địa chỉ email khác nhau cho cả hai. Nhưng đây là một cách tiếp cận tẻ nhạt hơn, vì bạn vẫn cần hợp nhất dữ liệu người dùng của ứng dụng từ cả hai tài khoản.

Answer 2

Giải pháp đầu tiên của bạn chính là cách tôi thực hiện. Vì tất cả các dịch vụ còn lại của tôi đều không trạng thái, mã thông báo truy cập đi vào tiêu đề và được phân tích bằng bộ lọc xác thực bảo mật mùa xuân trên mọi yêu cầu. Tôi sử dụng một grails sever với plugin spring-security-oauth. Chúng tôi cũng chạy một trang web cho phép sử dụng cookie phiên cho quyền truy cập dựa trên trình duyệt.