如何從本地應用安全地登錄用戶（最佳實踐）？

Question

我想知道從本地應用登錄用戶到我的網絡服務的好方法。

我已經看到了執行soap請求的實現，然後它生成了一個在30天后過期的令牌對，它使用該令牌代表該用戶進行api調用。登錄用戶並與api交互的最佳做法是什麼？

Answer 1

不幸的是，對於世界上的每個應用程序，在每個平臺和操作系統上，都沒有普遍的答案。正確的答案取決於應用程序，它是如何工作的，以及它的要求。

在這方面有很多共同的主題;你提到了一個，例如時間限制認證。對於某些應用程序，在認證令牌過期之前30天是合理的時間;對於其他應用程序，更適當的時間限制將在幾個小時而不是幾天。

另外一個常見的實現方式是綁定到客戶端IP地址或瀏覽器用戶代理的身份驗證令牌。對於您的應用程序來說，這是否是一個好主意，同樣，只有您知道答案。

然後，您也有使用簽名證書而不是身份驗證令牌或質詢/響應身份驗證的實現。