Kiungo cha uthibitishaji kinatumika mara moja. Hilo halithibitishi aliyekifungua.
Charles Archibong, Mwanzilishi mwenza
Kiungo cha matumizi ya mara moja hupunguza kurudiwa, lakini hakithibitishi aliyekitumia. Fungamanisha kila safari na mteja aliyelengwa kwenye seva kabla ya kutoa ufikiaji wa akaunti.
Mambo muhimu
- Kumiliki kiungo na kumiliki akaunti ni ushahidi wa mambo tofauti.
- Unda na hifadhi uhusiano wa mteja na kikao kwenye seva.
- Tumia matokeo rasmi na uhusiano wake kabla ya kubadili ruhusa.
Uthibitishaji uliokamilika unahusu mteja na safari ambayo seva yako iliunda. Kabla ya kubadili ruhusa za akaunti, linganisha uhusiano huo na matokeo rasmi. Kurudi kwa mafanikio kwenye kivinjari au kuwa na kiungo cha matumizi ya mara moja hakutoshi.
Fikiria mfano wa huduma kwa wateja: mhudumu anaweka URL ya uthibitishaji kwenye mazungumzo yasiyo sahihi. Hata ikiwa inaweza kutumika mara moja tu, unahitaji kujua akaunti ambayo ushahidi huo unaruhusiwa kuathiri.
Unda uhusiano kabla ya kutuma kiungo
Unda safari kwenye seva kwa rejea ya mteja aliyelengwa, shirika, mazingira na workflow. Hifadhi rejea ya kikao iliyorejeshwa kwenye ombi hilo kabla ya kutuma URL.
Usiruhusu kitambulisho cha mteja kilichotumwa na kivinjari kichague akaunti inayothibitishwa. Hakikisha mtumiaji anaruhusiwa kuanzisha safari ya akaunti hiyo.
Mwongozo wa OWASP wa uidhinishaji (hufunguka kwenye kichupo kipya) unapendekeza kukagua ruhusa kwa kila ombi. Tumia kanuni hiyo unapoanzisha safari na unapopokea matokeo.
Usambazaji uwe sehemu ya udhibiti
Tuma kiungo kupitia njia inayolenga mteja. Epuka URL kamili za uthibitishaji katika matukio ya takwimu, picha za skrini na maelezo ya huduma yasiyozihitaji. Tumia rejea badala ya kunakili URL kati ya timu.
Kiungo kikimfikia mtu asiye sahihi, tumia njia za mtoa huduma zilizoandikwa za kukifuta au kumaliza muda wake pale zinapopatikana. Usidhani kiungo kipya kinafuta cha kwanza. Peleka suala kwa mhusika ikiwa huwezi kubaini hatari iliyobaki.
Mwongozo wa OWASP wa vikao (hufunguka kwenye kichupo kipya) unaeleza uangalifu unaohitajika kwa tokeni kwenye URL. Thibitisha tabia halisi ya mtoa huduma badala ya kubuni dhamana.
Kubali matokeo kwenye seva
Matokeo yakifika, hakiki uhalisi wake na pata hali ya sasa inapohitajika. Yalinganishe na mteja, safari na mazingira yaliyohifadhiwa. Hakikisha uamuzi wa mwisho unaotakiwa na sera kabla ya kutoa ruhusa.
Skrini ya kukamilika kwa kunasa taarifa inaweza kumwambia mteja hatua inayofuata. Isiruhusu akaunti yenyewe. Hali za kusubiri, kukaguliwa na kukamilika zibaki na maana.
Jaribu hali ya mpokeaji asiye sahihi
Jaribu wateja wawili kwenye vikao tofauti vya kivinjari, kiungo kilichofunguliwa na mtu mwingine, safari iliyopitwa na muda na matokeo yaliyochelewa. Hakikisha hakuna matokeo yanayoweza kubadili akaunti isiyohusika.
Toden ina safari zinazohostiwa zilizofungamanishwa na mteja; programu yako bado inatekeleza ruhusa za akaunti. Anza na mwongozo wa kiungo kinachohostiwa au SDK, kisha tumia marejeo ya ujumuishaji kupima uhusiano kutoka mwanzo hadi mwisho.
Vyanzo
Charles Archibong
Mwanzilishi mwenza
Charles Archibong ndiye mwanzilishi mwenza wa Toden. Anaandika kuhusu uthibitishaji wa utambulisho, teknolojia ya kifedha, na kazi ya vitendo ya kujenga huduma za kidijitali zinazoaminika.
