Мы привыкли доверять приложениям, которые установили на свои гаджеты. Порой обоснованно, порой не очень. Если посмотреть документацию на API авторизации какого-нибудь крупного российского банка или соцсети, то можно увидеть Oauth 2.0, OIDC, authorization code flow и т.д. К сожалению, в большинстве случаев это либо не соответствует действительности вообще, либо частично. Как будто за всеми этим упускается один важный момент, и сегодня мы поговорим об этом более подробно.
Рубрика «oauth2»
Безопасная авторизация в современных мобильных приложениях: миф или реальность?
2025-01-02 в 7:16, admin, рубрики: mobile development, oauth2, OIDC, rfc, безопасность, безопасность мобильных приложенийПрактическая реализация современной аутентификации на платформе .NET: OpenID Connect, шаблон BFF и SPA
2024-08-29 в 11:15, admin, рубрики: .net, architecture, authentication, BFF, C#, oauth2, OIDC, React, SPAВведение
OpenID Connect (OIDC): Как получить токен?
2022-06-16 в 6:46, admin, рубрики: IT-стандарты, oauth2, OIDC, openid connect, аутентификация, Блог компании Флант, информационная безопасность, Сетевые технологии, системное администрированиеЭта статья повествует о наиболее распространенном методе обмена токенами в потоке OpenID Сonnect: грантах [grants]. Обещаем – путешествие будет увлекательным, так что устраивайтесь поудобнее.

Интерлюдия
UML для разработчиков
2020-03-05 в 8:42, admin, рубрики: activity diagram, archimate, class diagram, enterprise architect, oauth2, sequence diagram, UML, UML Design, use case, Блог компании Программный Продукт, диаграммы, Проектирование и рефакторинг, управление проектамиИнтернет полон статей про UML, вы найдете сотни примеров для каждого вида диаграмм, и без проблем создадите свои, нотация не сложная. Но так ли уж необходимо тратить на это время? Наш богатый опыт говорит «Да». Если у вас в команде более 2 человек и проект от 3 месяцев, то уже имеет смысл отрисовать 2-3 вида диаграмм. В одной нашей команде более 30 человек, проект длительностью более 3 лет, и мы используем...2-3 вида диаграмм.
Нотация UML избыточна. С другой стороны она недостаточна для проектирования распределенных систем, и здесь нам помогает Archimate. В этой статье мы расскажем, что действительно полезно из всего этого многообразия, и рассмотрим на примере полный цикл создания диаграмм для проекта.
Читать полностью »
Поддержка анонимных jwt токенов в IdentityServer4 при помощи AnonymousIdentity
2019-09-06 в 10:00, admin, рубрики: .net, anonymous-tokens, anonymousidentity, ASP, asp.net core, C#, identityserver4, oauth2, информационная безопасность
Недавно мне потребовалось реализовать поддержку анонимной аутентификации пользователей на основе OpenId Connect и OAuth 2.0 на платформе ASP.NET Core. Здесь не будет объясняться спецификация данных протоколов, для этого есть полно статей на хабре. Перейдем к сути.
Интеграция с ЕСИА на базе oauth2-client (PHP)
2018-05-22 в 3:11, admin, рубрики: oauth2, open source, OpenConnect, php, php5, php7, госуслуги, есиа, финтехПредставляем yet another PHP-пакет интеграции с ЕСИА — ekapusta/oauth2-esia
. Реализован как адаптер к популярному league/oauth2-client
.
Добавление рекордов с OAuth 2: Laravel Passport + Unity. Часть 2
2017-10-22 в 17:38, admin, рубрики: C#, laravel, oauth2, ratwall, unity, unity3d, разработка игрПродолжение статьи про добавление рекордов из игры на сайт от конкретного пользователя. В первой части мы сделали страничку рекордов на Laravel и подготовили API для их добавления — как анонимным, так и авторизированным пользователем. В этой части будем дорабатывать готовую игру на Unity про Крысу на Стене, заходить за свой аккаунт и отправлять рекорды на сайт на Laravel с использованием токена авторизации.
Читать полностью »
Добавление рекордов с OAuth 2: Laravel Passport + Unity. Часть 1
2017-10-17 в 8:00, admin, рубрики: laravel, oauth2, php, ratwall, unityВ конце прошлого лета я задумался над простым способом авторизации пользователей форума в мобильном приложении. Как раз в это время вышла версия Laravel 5.3 вместе с пакетом Laravel Passport, где подобное предлагалось из коробки. Раньше я не работал с OAuth 2, так что начал не спеша разбираться. Решил испытать механизм на крысах, в небольшой игре на Unity про Крысу на Стене. Сама игра — простейший раннер, но механизм авторизации может представлять некоторый интерес, если ранее не сталкивался с этим. Я пользовался официальной документацией и статьей про Passport. На хабре подходящей статьи до сих пор не появилось, поэтому решил сам скомпоновать материал, реализовав для интереса добавление рекордов и базовое взаимодействие с клиентом на Unity. Ввиду моей неторопливости это растянулось почти на год, так что сейчас в примерах используются уже Laravel 5.5 и Unity 2017.1.
В первой части статьи разберёмся, как с помощью токена авторизации добавить рекорд пользователя на сайт.
Читать полностью »
Приложения для Tarantool 1.7. Часть 2. OAuth2-авторизация
2017-08-30 в 9:06, admin, рубрики: Lua, nosql, oauth2, open source, tarantool, Блог компании Mail.Ru GroupКак построить свое приложение для Tarantool и при этом не городить огород каждый раз, когда требуется сделать, казалось бы, элементарную вещь? Это продолжение цикла статей о том, как создавать свои приложения для Tarantool.
Сегодня мы рассмотрим вопросы сетевого взаимодействия, установки и использования сторонних модулей.
ScribeJava — даже ваша бабушка сможет работать с OAuth
2016-03-15 в 6:29, admin, рубрики: api, github, hh.ru, java, oauth, oauth 1.0, oauth2, open source, scribe, scribe-java, ScribeJava, subscribe, Блог компании HeadHunter, Веб-разработка, Программирование
Именно этой фразой нас приветствует библиотека для работы с OAuth — ScribeJava (https://github.com/scribejava/scribejava). Если быть точнее, то фраза звучит так: “Who said OAuth/OAuth2 was difficult? Configuring ScribeJava is so easy your grandma can do it! check it out:”.
И это действительно похоже на правду:
OAuth20Service service = new ServiceBuilder().apiKey(clientId).apiSecret(clientSecret)
.callback("http://your.site.com/callback").grantType("authorization_code").build(HHApi.instance());
String authorizationUrl = service.getAuthorizationUrl();
OAuth2AccessToken accessToken = service.getAccessToken(code);
Готово! Этих трех строчек достаточно, чтобы начать делать OAuth запросы. А сам OAuth запрос можно будет сделать так:
OAuthRequest request = new OAuthRequest(Verb.GET, "https://api.hh.ru/me", service);
service.signRequest(accessToken, request);
String response = request.send().getBody();
Данные о пользователе у нас в руках (в переменной response). И ни капли понимания, как в деталях работает OAuth. Хотим асинхронные http-запросы? Нам хватит тех же трех строчек. Ниже рассмотрим это на примере.
Читать полностью »