Seitenanfragen ohne Cookies authentifizieren

Question

Diese Frage soll verifizieren, dass ich etwas richtig verstehe. Ich erstelle derzeit eine webbasierte Anwendung, die mehrere Seiten umfassen würde (denke, verschiedene SPAs unter der gleichen Domäne), und ich möchte nur einen einzigen Authentifizierungspunkt haben.

Meine Frage ist dann die folgende: Während auf einem SPA ist es möglich, Authentifizierungstoken auf lokalen/Sitzungsspeicher zu speichern, meines Wissens die einzige Möglichkeit zur Authentifizierung einer Seitenanforderung (ein Link zu einer anderen Seite, keine asynchrone Anfrage) ist dies mit einem Cookie, unabhängig von der verwendeten Authentifizierungsmethode (Basic, OAuth, JWT, etc).

Bin ich richtig? Ist dies die einzige verfügbare Methode?

Answer 1

Es ist eine breite Frage, aber ich würde sagen, dass die Antwort im Allgemeinen "nein" ist. Es gibt eine Reihe von Dingen, die Sie tun können.

Wenn Sie "einen Authentifizierungspunkt" erwähnen, gehe ich davon aus, dass Sie "Single Sign-On" meinen. Es gibt viele Systeme, die Single-Sign-On ermöglichen.

auf breiter Ebene, das ist, wie das funktionieren könnte:

1. Benutzer auf eine Ihrer Anwendungen geht.
2. Der Benutzer wird automatisch auf eine Authentifizierungsseite (in einer zentralen Domäne) umgeleitet.
3. Der Benutzer meldet sich an und die Anmeldeinformationen werden beispielsweise in LocalStorage gespeichert. Dadurch können diese Informationen gespeichert werden.
4. Das System für einmaliges Anmelden leitet den Benutzer zurück zur ursprünglichen Anwendung und bettet ein einmal verwendbares Token in die URL ein.
5. Original-Anwendung verwendet das Token, um mehrfach verwendbare Token zu erhalten.

Dies ist ein sehr häufiger Ablauf in OAuth2.

Answer 2

Ich kenne mehrere Optionen:

• Cookies (keine Erklärung erforderlich)

• Basis HTTP Authentifizierung

  Es ist sicher Basisauthentifizierung in Verbindung mit HTTPS zu verwenden. Der Authentifizierungsheader wird zwischen den Anforderungen wiederholt, sodass die Anmeldeinformationen einmal eingegeben werden. Das einzige Problem ist hässlich Browser Pop-up anfordernden Anmeldeinformationen

• Hinzufügen von Token/Unterschrift zu jedem Link von JavaScript oder durch serverseitige HTML-Verarbeitung

  Z.B. jQuery verwendet, dass Code HINWEIS ist vereinfacht

  $(document.body).click('a', e => { 
      var $a = $(e.target).closest('a'); 
      if($a.length) { 
       e.preventDefault(); 
       document.location = $a.attr('href') + '&token=' + secretToken; 
      } 
  }) 
  

Bitte finden good article explaining available authentification methods here