Аутентификация форм с помощью гибридных мобильных приложений

Question

Мы являемся процессом разработки приложения для Android android с использованием инфраструктуры IONIC и Web Api в качестве бэкэнд. Мой вопрос в том, достаточно ли использовать проверку подлинности на форматах вместе с SSL, чтобы обеспечить безопасное приложение телефона.

Наш опыт работы в Web-разработке Asp.Net, и мы не видим примеров использования технологии гибридного мобильного приложения, а также проверки подлинности форм, что заставляет задуматься, если мы ошибаемся.

Мы реализовали CORS вместе с WithCredentials как на стороне Углового, так и на веб-API, а часть аутентификации работает нормально для всех последующих вызовов в режиме отладки.

Нужно ли нам предпринимать дополнительные меры для обеспечения безопасности, поскольку это приложение для телефона?

Редактировать: Я читал об аутентификации маркера на предъявителя с помощью Web Api, это рекомендуемый способ работы с приложениями для телефона?

Спасибо!

Answer 1

Да, моя рекомендация заключается в том, чтобы пойти с токенами-носителями, но не с проверкой подлинности форм.

Вы должны использовать OAuth 2.0 ресурсов Владелец Credentials Flow означает, что конечный пользователь предоставляет имя пользователя/пароль только один раз для конкретной конечной точки т (/маркер), а затем, если имя пользователя/пароль действителен вы получите так называемый токен доступа к подписчикам.

Этот токен действителен в течение указанного периода времени, и вы можете настроить его в своем веб-интерфейсе. После того, как вы получите токен доступа, вам необходимо безопасно его хранить в своем приложении для Android и гибридного приложения, после чего вы отправляете его с каждым запросом в свои защищенные конечные точки, защищенные веб-api, используя заголовок авторизации (схему несущей). Я написал очень подробный пост, который покрывает ваш сценарий на 100%. Пожалуйста, проверьте сообщение Token Based Authentication и еще один для аутентификации с AngularJS authentication, который должен работать со своим кейсом. Дайте мне знать, если вам нужна дополнительная помощь.