Аутентификация D2L Valence без возврата строки запроса

Question

Прошу простить мое невежество, если я пропущу что-то очень простое. Но мне интересно, как я могу пройти аутентификацию в LMS с помощью API Valence без аутентификации, возвращающей строку запроса. Я отметил, что в Приступаем к работе после проверки подлинности с помощью экземпляра LMS valence.desire2learn.com вы возвращаетесь к приложению, но URL теперь имеет идентификатор пользователя и ключ пользователя в URL как строки запроса (x_a, x_b). Есть ли способ аутентификации, чтобы конечный пользователь никогда не видел эти комбинации ID/Key. Меня беспокоит то, что если кто-то закланизул сайт на компьютере, они могли бы получить доступ к паре ID пользователя/ключа, которая имеет повышенную привилегию. Это, в сочетании с тем, что пользователь может получить пару AppID/AppKey из создаваемого URL-адреса аутентификации, может привести к катастрофе. Вооружившись ключами пользователя и клавишами приложения, можно запрограммировать любое количество вредоносных атак. Я уверен, что D2L подумал бы об этой проблеме, и поэтому, по моему мнению, моя нехватка сна мешает увидеть простое решение.

Если у кого-то есть понимание этого вопроса, было бы полезно.

Заранее спасибо.

Answer 1

Desire2Learn намеревается использовать приложение «Приступая к работе» только в качестве учебного инструмента, предназначенного для того, чтобы помочь разработчикам узнать, понять и стать более удобным с протоколом аутентификации, используемым API-интерфейсами Valence Learning Framework. Таким образом, он будет отображать информацию, которую пользователи обычно не видят в типичной настройке. Вы не должны использовать образец Getting Started в качестве справочного приложения для лучших практик в области создания производственных приложений, особенно в отношении того, как вы должны обрабатывать учетные данные приложений и пользователей. Для примера того, как создать производственное приложение, пожалуйста, взгляните на образец книжного виджета. Вы можете найти application и test code для образца книжного виджета на сайте проекта Desit2Learn's GitHub. В этом примере демонстрируются современные рекомендации о том, как вы должны обрабатывать учетные данные приложений и пользователей, а также иллюстрирует, как реализовать базовую службу поставщика инструментов LTI.