2016-04-21 4 views
0

Ich habe eine Plattform, wo ich versuche, eine Verbindung mit BC mit oAuth-Authentifizierung zu erstellen.Wie bekomme ich den State-Parameter in der GET zu Auth Callback-URI in BigCommerce

Dafür habe ich eine App auf dem Entwicklerportal erstellt und registriert sie mit der PartnerId, um die Client-ID und den Client geheim zu bekommen.

Dann mache ich eine req zu BC für die Installation der App auf den Laden mit der Shop-URL, auth Callback-URL, Status (connectionId), Client-ID der App veröffentlicht und der Bereich, für den die Verbindung beantragt. Mit dieser Anfrage komme ich zum BC-Login für den Store und wenn ich dann eingeloggt bin, wird durch Klicken auf Install die GET-Anfrage an die Authentifizierungs-Callback-URL ausgelöst (dieselbe Callback-URL wird in der Anfrage übergeben und zum Zeitpunkt der App-Registrierung bereitgestellt)) enthält den Code, den Umfang und den Kontext.

Aber ich habe eine Anforderung, wobei ich die State-Parameter, die ich im Requ für App-Installation gesendet habe, zusammen mit den drei Parametern, die in der GET-Anfrage gesendet werden, zurückgeben muss.

Wenn jemand auf ähnliche Anforderungen gestoßen ist und es mit einer Methode gelöst hat, bitte helfen Sie und ich würde mich freuen, wenn BC diese Anfrage aufgreift und den State Param zusammen mit den bestehenden drei Parametern wie die meisten der Plattform, die oauth unterstützt, hinzufügt hat die staatlichen params heutzutage eingeschlossen.

+0

tun Sie den Staat/Provinz oder Zustand in einem anderen Zusammenhang? – Alyss

+0

In diesem Zusammenhang meine ich eine weitere Eigenschaft, die im Request-Parameter von GET req für oauth callback unterstützt wird. – Ajit

Antwort

1

Es gibt keine Unterstützung für den Zustandsparameter.

Wenn dies ein Sicherheitsproblem ist, wissen Sie, dass der oAuth-Austausch stattfindet, nachdem ein Benutzer bereits für das Bigcommerce-Konto authentifiziert wurde. Daher hat BigCommerce eine Verknüpfung zwischen dem Autorisierungscode und dem Geschäft, zu dem es gehört. Also, wenn Sie versuchen, eine CSRF mit dem ursprünglichen Autorisierungs-Token gegen einen anderen Laden durchzuführen, sollte eigentlich von BigCommerce verhindert werden.

oAuth CSRF Erklärt:
https://security.stackexchange.com/a/57886/55072

hoffe, das hilft,

Verwandte Themen