Как сделать проверку подлинности без сохранения состояния (без сеанса) и без файлов cookie?

Ах, я люблю эти вопросы-поддержание сессии без сессии.

Я видел несколько способов сделать это во время моего пребывания во время оценки приложений. Одним из популярных способов является играть в теннис способ, который вы упомянули-отправка имени пользователя и пароля в каждом запросе для аутентификации пользователя. Это, на мой взгляд, небезопасно, особенно если приложение не одну страницу. Он также не масштабируется, особенно если вы хотите добавить авторизацию ваше приложение в дополнение к проверке подлинности в будущем (хотя я думаю, вы могли бы построить что-то на основе Логинов)

один популярный, хотя и не полностью апатридный механизм (при условии, что у вас есть выполнение JavaScript) заключается во внедрении cookie сеанса в JavaScript. Парень безопасности во мне кричит на это, но это действительно может сработать - каждый запрос имеет X-Authentication-Token заголовок или что-то в этом роде, и вы сопоставляете это с базой данных, файловым хранилищем в памяти и т. д. на задней панели, чтобы проверьте пользователя. Этот маркер может иметь тайм-аут любого указанного времени, и если он истекает, пользователь должен снова войти в систему. Он довольно масштабируемый - если вы храните его в базе данных, его один оператор SQL выполняется, и с правильными индексами, это должно занять очень мало времени для выполнения, даже с несколькими одновременными пользователями. Однако нагрузочное тестирование здесь определенно поможет. Если я правильно прочитаю вопрос, это будет ваш зашифрованный механизм токенов - хотя, я бы настоятельно рекомендовал то, что вы используете криптографически случайный токен, скажем, 32 символа, по сравнению с использованием комбинации username + password + whatever else - таким образом, он остается непредсказуемым, но вы все равно можете связать его с идентификатором пользователя или какой-то такой вещью.

в зависимости от того, что вы в конечном итоге используете, убедитесь, что он отправляется вам безопасно. HTTPS защищает вас по всему проводу, но он не защищает вас, если вы пропускаете токен сеанса через URL (или, что еще хуже, учетные данные через URL). Я бы рекомендовал использовать заголовок, или если это невозможно, каждый раз отправляйте токен через запрос POST (это будет означать скрытое поле формы в браузере пользователя.) Последний подход использования запроса POST должен использовать защиту CSRF, на всякий случай, хотя я подозреваю, что использование самого токена может быть своего рода защитой CSRF.

и последнее, но не менее важное: убедитесь, что у вас есть какой-то механизм в бэкэнде для очистки устаревших токенов. Это было проклятием многих приложений в прошлом-быстро растущая база данных маркеры аутентификации, которые никогда не исчезают. Если вам необходимо поддерживать несколько учетных записей пользователей, убедитесь, что вы либо ограничиваете число, либо имеете более короткий срок для каждого маркера. Как я уже говорил, нагрузочное тестирование может быть ответом на это.

есть некоторые другие проблемы безопасности, о которых я могу думать, но они слишком широки, чтобы их можно было решить на этом этапе - если вы помните все случаи использования (и злоупотребления), вы, вероятно, сможете сделать довольно хорошую реализацию этого система.