手機的最佳實踐認證

我開發了一個網站，要求用戶註冊和認證某些部分。現在我正在尋找一種最佳實踐來實現連接到服務器的移動應用程序的註冊和身份驗證。這個應用程序將使用json與服務器進行通信。我正在考慮HTTP摘要，但我想聽聽其他人的意見。手機的最佳實踐認證

只用於記錄，服務器是用Grails（groovy）編寫的，並使用spring安全進行身份驗證。

基本上你應該發佈「j_username」和「j_password」到「/ j_spring_security_check？ajax = true」。

spring-security插件會安裝一個LoginController，檢查它以查看基於ajax的登錄的默認公開操作。

有關流程和代碼示例更深入的信息：grails-spring-security-core

2012-06-08 18:08:18 Raphael

我知道春天的安全，我的擔心是對安全和CSRF攻擊。發佈到j_spring_security_check表示明文密碼並且沒有CSRF標記（因爲我無法在客戶端應用程序上生成它） –

當然，接收純文本密碼以及任何基本身份驗證保護資源的url應該在https下。 CSRF，SS支持多因素身份驗證，因此您可以使用兩步身份驗證過程。 – Raphael

回答