如何實現基於cookie的身份驗證

Question

我試圖在PingFederate中實現「記住我的功能」。爲此，我正在嘗試實施基於cookie的身份驗證。在開始工作之前，我想知道你們中的任何一位已經在做這件事，你有什麼想法？

請讓我知道。

謝謝！

Answer 1

首先，爲了避開它，我爲Ping Identity工作。始終保持良好態度。

其次，可能會有一些澄清的順序，但如果你想配置「記住我」的功能......這不是打敗認證的概念？你不想保護PingFed可以訪問的資源嗎？允許「記住我」可能適用於Facebook或WordPress之類的內容，但我肯定不會把它放在任何與財務或健康有關的事情面前（事實上，對這種事情有規定）。

最後，要真正回答您的問題......您需要創建自己的身份驗證適配器，可能是圍繞我們的OpenToken SDK構建的。我處理這個問題的方式是，根據任何用戶存儲庫對用戶進行身份驗證，然後創建一個「長壽命」的cookie，一個適合X天使用的cookie，每次使用時都會刷新。該cookie可以生成一個OpenToken，提供對PF及其受保護資源的訪問。你應該做到這一點，以便令牌是某種東西的散列......就像機器的MAC地址的鹽漬散列或類似的東西，將cookie連接到該機器。

雖然如此，我想告誡你不要「記住我」。看起來你似乎在降低安全性。