Как аутентифицировать приложение Rails с использованием токена от стороннего API?

Question

У меня есть приложение Rails, которое вызывает несколько пользовательских вызовов стороннего API. Они взаимодействуют с большим количеством данных в ходе заполнения опроса, и их прогресс сохраняется в HTML5 localStorage до тех пор, пока они не дойдут до конца опроса, и данные будут сохранены в локальной базе данных. & localStorage очищен.

Для вызовов API требуется маркер, прикрепленный к концу в качестве параметра «auth =». Прямо сейчас у меня есть пользователь, который входит в мое приложение со своим именем пользователя и паролем к этой службе, POST эти учетные данные для вызова «сессий» этого API и возвращает токен в JSON. Я сохраняю этот токен в переменной в контроллере и использую его для выполнения последовательных вызовов API и представления данных пользователя в моем приложении и т. Д. И т. Д.

Я узнал немного о Rails, но рядом с ничего о сеансах или аутентификации. Вообще говоря, есть ли что-то еще, что мне нужно сделать для того, чтобы это было безопасным сценарием? Я чувствую, что что-то упускаю.

Answer 1

Предполагая, что комбинация имени пользователя и пароля пользователя для стороннего сервиса не попадет на ваши серверы, мне кажется, что все в порядке.

Если ваши серверы видят учетные данные пользователя, это не особенно круто. Вместо этого используйте OAuth для входа стороннего входа и используйте токен для запросов от имени пользователя. Обычно вы можете сохранить весь сеанс на клиенте, если хотите избежать сохранения пользователей в базе данных.

Сохранение прогресса в localstorage звучит отлично. Чтобы сохранить значения, которые вы можете иметь страницы формы быть вкладки (так скрыть прежнюю форму, а не новая страница) и использование:

autocomplete="on" 

, чтобы показать, что значения должны быть восстановлены к тому, что они были. Попробуйте это, прежде чем писать код, чтобы сохранить вещи в localstorage.