Quelle est la meilleure façon d'étendre restful_authentication/AuthLogic pour prendre en charge les connexions paresseuses par un iPhone anonyme?

Question

Je construis une application iPhone qui parle à un backend Ruby on Rails. L'application Ruby on Rails servira également les utilisateurs Web. Le plugin restful_authentication est un excellent moyen de fournir une authentification utilisateur rapide et personnalisable. Cependant, je voudrais que les utilisateurs de l'application iPhone aient un compte créé automatiquement par l'identifiant unique du téléphone ([[UIDevice device] uniqueIdentifier]) stocké dans une nouvelle colonne. Plus tard, lorsque les utilisateurs sont prêts à créer un nom d'utilisateur/mot de passe, le compte sera mis à jour pour contenir le nom d'utilisateur et le mot de passe, laissant l'identifiant unique de l'iPhone intact. Les utilisateurs ne devraient pas pouvoir accéder au site Web tant qu'ils n'ont pas configuré leur nom d'utilisateur/mot de passe. Ils peuvent cependant utiliser l'application iPhone, car l'application peut s'authentifier en utilisant son identifiant.

Quelle est la meilleure façon de modifier restful_authentication pour ce faire? Créer un plugin? Ou modifier le code généré?

Qu'en est-il des cadres alternatifs, tels que AuthLogic. Quel est le meilleur moyen de permettre aux iPhones d'obtenir un jeton d'authentification généré verrouillé sur leurs UUID, mais de laisser ensuite l'utilisateur créer un nom d'utilisateur/mot de passe plus tard?

Answer 1

Je pense que vous ne devriez pas utiliser l'identificateur de téléphone seul pour s'authentifier car ce n'est pas un secret et il est probablement aussi devinable/prévisible. N'oubliez pas que si quelqu'un veut pirater votre application Web, il n'est pas obligé d'utiliser votre code. Il peut simplement deviner les ID de périphérique et essayer de manipuler les données de vos utilisateurs à l'aide de n'importe quel client Web.

Vous devez traiter l'ID de périphérique comme un nom d'utilisateur. Il s'agit d'une identification et non d'une authentification. Je vous suggère à l'utilisateur de choisir un mot de passe, ou mieux encore générer un code aléatoire automatiquement, pour aller avec elle - puis envoyer l'appareil ID + ce mot de passe/code pour enregistrer l'appareil tout d'abord, puis par la suite pour authentifier l'appareil.

Vous pouvez également parier que certains utilisateurs auront plus d'un appareil - soit ils remplaceront un terme, ou vous obtiendrez quelqu'un comme Stephen Fry qui se promène avec 4 iphones. Pour faire face à cela, je suggère que vous cherchiez un moyen d'instancier reposful_authentication deux fois, une fois pour l'authentification des utilisateurs, et une seconde fois pour l'authentification des périphériques. Je n'ai pas utilisé ce plugin mais je suppose que vous avez juste besoin d'utiliser différents paramètres de table pour que cela se produise. Ensuite, dans votre logique d'application, les utilisateurs peuvent associer plusieurs appareils à leur compte. Pour ce faire en toute sécurité, faites-le à partir de l'appareil ou demandez à l'appareil d'afficher un code aléatoire qu'il saisira ensuite dans l'application Web pour prouver qu'il est propriétaire de l'appareil (cela semble plus douloureux qu'il ne l'est - il en est de même processus que l'utilisation de la pomme dans itunes, apple TV et l'application à distance - regardez comment ils le font - il ne sera pas surprenant pour les utilisateurs). (Assurez-vous également que lorsque vous générez des mots de passe aléatoires, vous utilisez un générateur de nombres aléatoires cryptographiques - il existe probablement une API iPhone pour cela - sinon vos mots de passe peuvent être prévisibles).

Answer 2

Avez-vous essayé d'utiliser un autre schéma d'autorisation tel que Authlogic? J'ai trouvé reposful_authentication plutôt intrusif (bien que j'ai triché en utilisant bort).

Answer 3

Générer un mot de passe aléatoire dans Rails link text J'utilise le plugin restful_authentication pour un de mes projets. Dans le cadre de mon flux de travail de création de l'utilisateur, le système devrait pour générer un mot de passe aléatoire pour le nouvel utilisateur.Que pensez-vous de l'utilisation de l'UDID et d'un mot de passe aléatoire généré à l'aide de l'UDID + un sel défini au niveau du site?

Answer 4

Quelque chose comme:

salt = 'afG553Dvbf3' 

udid = '1234567890' 
pass = Digest::MD5.hexdigest(udid + salt) 

et envoyer ce mot de passe à l'iPhone pour la prochaine fois qu'il se connecte.