Sicherer Weg, um zu überprüfen, ob ein Benutzer berechtigt ist, eine Seite zu besuchen und andere umzuleiten Facebook Login

Question

Wenn ich eine Seite habe, auf der nur autorisierte Benutzer reinkommen, was ist die sicherste Art und Weise, dies zu überprüfen Leute, die nicht sicher auf andere Seite sind?

FB.getLoginStatus(function(response) { 
     if (response.status === 'connected') { 
     // do nothing its ok.. 
     } else if (response.status === 'not_authorized') { 
     window.location.replace("/login.php"); 
     } else { 
     window.location.replace("/login.php"); 
     } 
     }); 

ich denke, auf diese Weise nicht sicher ist, so helfen Sie mir einen besseren Weg von securly zu überprüfen, ob eine Person in einer bestimmten Seite wären hilfreich

Answer 1

Einige weiteren Informationen zu Ihrer Umgebung zu sein ist ermächtigt, , aber im Allgemeinen und wenn Sie davon ausgehen, dass Ihr Backend auf PHP basiert, basierend auf den Umleitungsseiten in Ihrem Snippet, haben Sie recht, wenn Sie sagen, dass es nicht sicher ist.

Das Hauptproblem, das hier behandelt werden muss, ist, dass der Benutzer in den meisten Fällen Zugriff auf die clientseitige Skripte, Javascript hat. Wenn Sie versuchen, den Zugriff auf eine bestimmte Seite zu verhindern, müssen Sie sie serverseitig behandeln. Die Methodik hierfür variiert mit den beteiligten Authentifizierungsmechanismen/Bibliotheken.

Wenn Sie jemanden verhindern wollen keinen Code den Zugriff auf die auf der Seite ausführen würde:

if(isset($_SESSION['some_value']){ 
    $authorised = ($_SESSION['some_value'] === $correct) ? true : false; 
    if($authorised){ 
     header('Location: /logged_in/'); 
     exit(0); // or do anything else needed 
    }else{ 
     header('Location: /not_logged_in/'); 
     exit(1); // no further code will execute 
    } 
} 

Der deutliche Unterschied ist dies ausgewertet serverseitige, sondern muss darauf geachtet werden, dass das, um sicherzustellen, Nur eine Möglichkeit, 'some_value' legitim zu erhalten, wird auch serverseitig gemacht. Dies ist ein sehr allgemeines Beispiel, das besser in eine Klasse für eine robustere Authentifizierung, mehr Modularität usw. erweitert werden könnte. Wenn Sie eine Anwendung eines Drittanbieters (z. B. Oauth) verwenden, müssen Sie sicherstellen, dass Sie diese serverseitig korrekt konfiguriert haben natürlich auch.

Kurz gesagt, Ihre Authentifizierung hängt von den Bibliotheken und der Umgebung ab, die Sie verwenden, aber was bei den verschiedenen möglichen Implementierungen üblich ist, ist das Misstrauen gegenüber willkürlichen Benutzereingaben. Es gibt keine sichere Möglichkeit, einem Benutzer implizit zu vertrauen, dass er ehrlich ist.

Um eine Antwort präziser zu Ihres Anwendungsfall zu geben, sind weitere Informationen in Bezug auf Ihre Umgebung erforderlich, die Anforderungen, welche Bibliotheken zur Verfügung stehen usw.