POST Call to Authenticate User to Front end Application

Question

Мне было поручено создать аутентификацию LDAP в интерфейсном приложении Javascript.

Я очень ограничен во времени и располагаю очень маленьким набором инструментов. Набор инструментов - это внешнее приложение javascript и доступное приложение C#, которое я могу сделать почтой и получить запросы.

Я думал, что могу просто позвонить, например https://mybackend.com/authenticate Где бы я разместил имя пользователя и пароль.

И на бэкэнд это вернет, был ли пользователь действительным в AD. Который я могу использовать на интерфейсе, чтобы пользователь вошел в систему.

Этот подход крайне небезопасен или имеет недостатки? Я думаю, что если я отправляю на бэкэнд выше, то не много будет выставлено.

Любые советы были бы очень полезны.

Answer 1

Этот подход крайне небезопасен или имеет недостатки?

Это небезопасно, это обычный способ, которым вы это сделаете. Можно добавить дополнительную безопасность, добавив токен CSRF, который будет проверен на сервере для любой формы submit.

И да, вы должны отправить все данные по HTTPS, это зашифрует полезную нагрузку.

Answer 2

Весь метод небезопасен. Особенно без HTTPS.

Но вы можете поместить аутентификацию в заголовок сообщения и использовать токен, сгенерированный с помощью ключа, который известен только серверу.

Answer 3

Что вы делаете, это нормально для интерфейсных JavaScript-фреймворков, таких как Angular. До тех пор, пока вы используете Https, все должно быть в порядке.

Только проблема заключается в том, как вы будете обрабатывать запросы страницы подпоследовательности. Есть два способа справиться с этим -

1. Самый простой способ заключается в использовании ASP.Net MVC в качестве страницы входа, и использовать Cookie Owin Middleware. Поскольку тот же файл cookie отправляется обратно на сервер по вызовам API, вам не нужно делать никаких дополнительных работ. Вы можете скачать my sample code at GitHub - OwinAuthenticationService.

2. Другой способ - использовать токен-носитель, в котором вам придется отправлять один и тот же токен на сервер при каждом запросе страницы.