devise 和 Rails 3 中的 http 身份验证

Question

我有一个使用 devise on Rails 3 的应用程序。我想启用 http 身份验证，以便我可以从 iPhone 应用程序对我的 Web 应用程序进行身份验证。如何通过我的 iPhone 应用程序进行身份验证以进行设计？

这是安全的还是我应该以不同的方式进行身份验证？

Answer 1

从设计的角度来看，您有 3 个选项：

1) 使用基本的 http 身份验证：您的 iPhone 应用程序有一个秘密密钥（在您的 iPhone 应用程序代码中烘焙），用于对 Web 应用程序的每个请求进行身份验证。
Google 搜索：“设计基本的 http 身份验证”

2) 您可以通过在 iPhone 应用程序中拥有公共证书并在 Web 应用程序中拥有私有证书来使用 https。正确配置需要做很多工作，而且非常安全，因为您的 iPhone 应用程序和 Rails 服务器通过加密通道交换消息。由于身份验证是在传输级别完成的，因此安全性对于您的 Rails 代码也是透明的。

3) iPhone 应用程序使用 https 连接到 Web 应用程序，获取身份验证令牌，然后使用该令牌通过常规 http 调用 Web 应用程序。比 1 更安全，因为密钥可能会过期，需要实施大量工作并且非常可扩展。
(http://matteomelani.wordpress.com/2011/10 /17/authentication-for-mobile-devices/)

大多数应用程序都使用解决方案 1。

希望这会有所帮助。

编辑：要实现http身份验证（基本或摘要）我建议您查看：

http ://api.rubyonrails.org/classes/ActionController/HttpAuthentication/Basic.html
和
https://github.com/plataformatec/devise/ wiki/How-To:-Use-HTTP-Basic-Authentication

确切的步骤取决于您的 Rails 服务器堆栈。

编辑2：我不认为 Devise 提供了获取 auth_token 的方法。我可以看到你可以尝试几种解决方案：

• 当用户登录服务器时检索authentication_token并将其放入cookie中。除非您使用共享密钥对其进行加密，否则不太安全。

• 您可以提供一个 https Web 服务，您的 iPhone 应用程序使用该服务来获取用户令牌。您的 iPhone 应用程序将在收到用户登录请求后立即发出请求。

抱歉，我无法通过一些真实的代码提供更多帮助。

Answer 2

这很大程度上取决于您如何在服务器端实现事物，但我们使用 Matteo 的第三个选项来实现这一点。我有一个使用 devise 的 Rails 3.1 实现。登录的路由是 /user/login.json 。首先使用如下代码构建用于登录的 JSON 正文：

NSMutableDictionary *loginDictionary = [NSMutableDictionary dictionary];
NSMutableDictionary *usernamePasswordDictionary = [NSMutableDictionary dictionary];
[usernamePasswordDictionary setObject:username forKey:@"email"];
[usernamePasswordDictionary setObject:password forKey:@"password"];
[loginDictionary setObject:usernamePasswordDictionary forKey:@"user"];

NSData *data = [NSJSONSerialization dataWithJSONObject:loginDictionary options:0 error:&error];

生成此 JSON：

{"user":{"password":"blahblahblah","email":"admin@*****.com"}}

我使用如下代码发送 POST url 请求：

NSString *postUrlString = [NSString stringWithFormat:@"%@users/login.json", kServerAPIBaseURL];
NSMutableURLRequest *request = [NSMutableURLRequest requestWithURL:[NSURL URLWithString:postUrlString] cachePolicy:NSURLRequestReloadIgnoringCacheData timeoutInterval:kTimeoutInterval];
[request setHTTPMethod:@"POST"];
[request setValue:@"application/json" forHTTPHeaderField:@"Content-type"];
[request setHTTPBody:data];

我得到的响应包含 JSON。我们将服务器端配置为返回 session_auth_token：

{
    admin = 1;
    "created_at" = "2012-01-25T00:15:58Z";
    "current_sign_in_at" = "2012-04-04T04:29:15Z";
    "current_sign_in_ip" = "75.163.148.101";
    email = "admin@******.com";
    "encrypted_password" = "*****";
    "failed_attempts" = 0;
    id = 1;
    "last_sign_in_at" = "2012-04-03T03:37:18Z";
    "last_sign_in_ip" = "75.163.148.101";
    "locked_at" = "<null>";
    name = "Joe Smith";
    "remember_created_at" = "2012-03-29T20:35:43Z";
    "reset_password_sent_at" = "<null>";
    "reset_password_token" = "<null>";
    "session_auth_token" = "3FRgX6CYlzQJGC8tRWwqEjFaMMFKarQAYKTy3u84M0U=";
    "sign_in_count" = 145;
    status = 1;
    "unlock_token" = "<null>";
    "updated_at" = "2012-04-04T04:29:15Z";
}

我们存储该 session_auth_token，然后将其与标头中的每个请求一起发送回来，如下所示：

NSMutableURLRequest *postRequest = [NSMutableURLRequest requestWithURL:[NSURL URLWithString:[self postUrlString]]...
[postRequest setHTTPMethod:@"POST"];
[postRequest setValue:@"application/json" forHTTPHeaderField:@"Content-type"];
[postRequest setValue:[self sessionAuth] forHTTPHeaderField:@"X-CSRF-Token"];
[postRequest setHTTPBody:data];

该参数 [self sessionAuth] 包含 session_auth_token。

如果您需要澄清，请告诉我。