Как аутентифицировать сторонний веб-сайт с помощью вызова iframe

Резюме моих рекомендаций

• посмотрите, есть ли у них решениеФедеративной идентификации и единого входа (FSSO) . Если они это делают, используйте то, что у них есть.
Если нет, предложите им получитьFSSO (я рекомендуюShibboleth ) и используйте это.
• , если они не хотят, свернуть свой собственный с помощью моделирования на Facebook к Facebook приложения обмена.

Подробности
В FSSO есть "поставщик удостоверений личности" (IP) и " поставщик услуг" (ИНТЕЛЛЕКТУАЛЬНАЯ СОБСТВЕННОСТЬ). Колледж-это поставщик удостоверений личности, а вы-поставщик услуг. Поставщиков услуг может быть много. Просто помните, что IP=колледж, SP=вы. Ключевые моменты ФССО:

1. пользователи аутентифицируются по IP, а не по SP.
2. Когда IP сигнализирует, что сеанс аутентифицирован, SP доверяет ему.
3. SP получает аутентифицированные сигналы сеансатолько , когда пользователь аутентифицируется на IP.

Согласно EDUCAUSE , большинство колледжей имеют в ФГНУ. Таким образом, мое первое предложение-пройти миссию по установлению фактов, чтобы проверить, что есть в колледже. Ваш контент будет безопаснее, ваш код проще, и вы будете лучше спать по ночам, если у них уже есть FSSO. К счастью, мой опыт показывает, что в колледжах часто есть вещи, но знание этих вещей не обязательно передается по радио-вам нужно немного копнуть.

Если у них нет FSSO, мое следующее предложение-предложить им установить его. Обучите себя на опции , имея в виду, что единый вход не подразумевает Федеративный идентификатор-и вы хотите оба.

Лично я рекомендуюшибболет . Этос открытым исходным кодом . Я использовал его с лампой и ZF1. Я знаю, что это работает. С помощью Shibboleth колледж настроит IP-адрес Shibboleth, Вы настроите свой SP , вместе вы будете участвовать в потоке данных identity , и как только пользователь войдет в систему, вы получите переменные среды на каждом соединении, сигнализирующем аутентификация типа этой:

array (
    // ...
    [Shib-Application-ID] => my_course_catalog
    [Shib-Session-ID] => _6c45a07c8bc73190242212124221b7
    [Shib-Identity-Provider] => https://shib.college.edu/idp/shibboleth
    [Shib-Authentication-Instant] => 2013-12-31T22:42:07.101Z
    [Shib-AuthnContext-Decl] => urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
    [affiliation] => member@college.edu;staff@college.edu
    [eppn] => XXXXXX@college.edu
    [unscoped-affiliation] => member;staff
    // ...
    [REMOTE_USER] => XXXXXX@college.edu
    // ...
)

Способ, которым я реализовал это в ZF1, был плагином контроллера для поиска Shib-Session-ID. Если он будет найден, изготовьте ресурс Шибболета и заполните его Shib-Session-ID и REMOTE_USER, которые я позже смогу опросить для всего, что мне нужно. Если не нашли, перенаправление на страницу входа. (Поскольку вы находитесь в IFRAME, Не делайте этого : вместо этого перенаправьте на действие"нет содержимого для отображения"/" содержимое по умолчанию".)

Что делать, если они не примут предложение установка ФССО? Затем вы должны свернуть свой собственный, и камнем преткновения для вас будет, как вы заметили, доверие.

Проблема с тем, что они посылают вам токен (ваш вопрос № 2), заключается в том, что токен может быть перехвачен (с разной степенью легкости) и воспроизведен против вас. Вы не можете доверять тому, что вам дано. Вы должны взять то, что вам дано, и попросить источник , которому Вы доверяете, проверить то, что дано.

Еще большая проблема заключается в том, что вам нужно знать, если пользователь просматривая веб-страницу прямо сейчас является тот же пользователь, который был и до сих пор вошел в систему. Для этого вам нужен файл cookie для входа, выданный колледжем, и вы должны проверить, что файл cookie в настоящее время действителен.

Нет простого способа сделать это безопасно. Вот почему были изобретены ФССО, так что все, что тяжелый подъем может быть сделано один раз в доказуемо безопасной манере. Если у вас все еще есть свой собственный ролл, лучшая модель, которую я могу предложить, - это приложение Facebook. Та, где приложение, запущенное на стороннем сервере, "видит" вошедшего в систему пользователя Facebook. Для начала, вотучебник Facebook по аутентификации приложений .

(в настоящее время аутентификация приложения выполняется с помощью iframe POST с идентификатором сеанса входа, который вы проверяете с помощью Facebook... но я понимаю, что браузеры больше не позволяют этого, и вы должны обойти это. Я не знаю наверняка, что-то, что нужно иметь в виду.)

В конечном счете, ФССО является активом для колледжа и благом для вас. Идите с этим, если это вообще возможно. В противном случае, государство-оф-искусство для iframe стороннего приложения с помощью проверки подлинности с Facebook-в Facebook приложения обмена, поэтому модель, которая. Удачи вам!