Образец логин: Пример логина для регистрации. Что такое логин и как его создать

Давайте рассмотрим детали:

1. Когда конечный пользователь загружает приложение в свой браузер, оно проверяет сеанс на стороне сервера. Если сеанса не существует, он создает его.

   • Когда приложение создает сеанс, оно генерирует уникальный идентификатор сеанса, который сохраняется в сеансе и также помещается в файл cookie . Таким образом, клиентская часть приложения может при необходимости ссылаться на информацию о сеансе на стороне сервера.

   Пример содержимого сеанса:
   {     «id»: «iamauniquesessionid12345»,     «authState»: « без аутентификации » }

   Этот сеанс принадлежит и поддерживается приложением. Hosted Login еще не задействован.

2. Пользователь нажимает кнопку входа в приложение, и приложение выполняет вызов /login/authorize для Hosted Login.

    https://v1.api.us.janrain.com/a12bc34d-567e-8f90-gh22-3i45jk678lm9/логин/авторизовать
    ?client_id=12a345b6-c7d8-9e01-f2g3-h5567i890j12
    &redirect_uri=https://myapp. com/redirect_uri
    &scope=openid
    &code_challenge=PWt_2Fz95DnyzxREOAhdFAD95m9HoErGlfOpj3yLC3E
    &code_challenge_method=S256
    &response_type=код
    &claims={"userinfo":{"given_name":null}}
    &state=Vz8tHF2An2hXJ-aN_-xh0qpB7DtavIjdQivhGmzcX64 

   • Пользователь перенаправляется на страницу Hosted Login и завершает вход.

     Этот экран Hosted Login по умолчанию можно настроить так, чтобы он соответствовал внешнему виду вашего приложения; см. Настройка экранов.

   • Hosted Login перенаправляет обратно в приложение и включает токен состояния и код авторизации в URL-адрес перенаправления.

      https://myapp.com/redirect_uri
       ?код=U4r9tTEA1y2DVsp9
       &state=Vz8tHF2An2hXJ-aN_-xh0qpB7DtavIjdQivhGmzcX64 

3. Приложение проверяет указывает токен и выполняет вызов /login/token с кодом авторизации .

   Чтобы проверить маркер состояния , приложение сравнивает возвращенное значение состояния со значением состояния, сохраненным в сеансе приложения (см. примечание к предыдущему шагу). Если сравниваемые значения не совпадают, эту транзакцию следует отклонить.

     завиток -X ПОСТ \
    https://v1.api.us.janrain.com/a12bc34d-567e-8f90-gh22-3i45jk678lm9/логин/токен \
    -d 'grant_type=авторизация_код' \
    -d 'код=U4r9tTEA1y2DVsp9' \
    -d 'redirect_uri=https://myapp.com/redirect_uri' \
    -d 'идентификатор_клиента = 12a345b6-c7d8-9e01-f2g3-h5567i890j12' \
    -d 'code_verifier=RjDD-OPh2KraW8hDHSIHGHkQ9KXX023nZ-VfSYRJUOs' 

4. Приложение проверяет id_token и может извлекать из него информацию.

   id_token — это веб-токен JSON (JWT) , который необходимо расшифровать и проверить как часть процесса аутентификации. Этот шаг подробно описан в спецификации OpenID Connect Core. Справку по расшифровке и проверке JWT см. на сайте jwt.io.

   Расшифровано id_token :

    {
    "at_hash": "0phZ9j9m5taEgW-gCNM27w",
    "ауди": [
    "12a345b6-c7d8-9e01-f2g3-h5567i890j12"
    ],
    "время_аутентификации": 1608061505,
    "эксп": 1608065108,
    "global_sub": "захват-v1://us-dev.  janraincapture.com/a1bcde2fg3h556ijk7l8mnop9q/user/b317175e-a993-4117-ab34-f7413053667f",
    "иат": 1608061508,
    "исс": "https://v1.api.us.janrain.com/a12bc34d-567e-8f90-gh22-3i45jk678lm9/логин",
    "jti": "_rRIcCXoutTXB0sRUXFHvhQhW",
    "суб": "b317175e-a993-4117-ab34-f7413053667f"
    } 

   Дополнительные сведения о содержимом id_token см. в разделе Идентификационные токены.

5. Приложение также может получать данные, выполнив вызов /profiles/oidc/userinfo для Hosted Login, передав access_token для авторизации вызова.

    завиток -X ПОЛУЧИТЬ \
    https://v1.api.us.janrain.com/a12bc34d-567e-8f90-gh22-3i45jk678lm9/profiles/oidc/userinfo \
    -H 'Авторизация: носитель HnsFZz0ZZuSK26Yx8NcPCqc-3xzBkKgwyw09b9-NdVbEARDn-O1KGlxh4iUE__LL' 

   Пример ответа:

    {
    "given_name": "Джейн",
    "global_sub": "захват-v1://us-dev.janraincapture. com/a1bcde2fg3h556ijk7l8mnop9q/user/b317175e-a993-4117-ab34-f7413053667f",
    "sub": "b317175e-a993-4117-ab34-f7413053667f"
    } 

6. Приложение помещает маркеры доступа, обновления и идентификатора в сеанс на стороне сервера вместе с любыми пользовательскими данными, которые необходимо сделать доступными там.

   • Это хорошая идея, чтобы приложение также меняло идентификатор сеанса в это время, то есть заменяло исходный идентификатор сеанса новым как в сеансе, так и в файле cookie, ссылающемся на него. Это не позволяет злоумышленнику записывать идентификаторы сеансов, не прошедших проверку подлинности, а затем воспроизводить их после входа пользователей в систему.

   Пример содержимого сеанса:

   {     “id”: “iamauniquesessionid67890”,     “authState”: “ authenticated ”,     “tokens”: {         “accessToken”: “HnsFZz0ZZuSK26Yx8NcPCqc-3xzBkKgwyw09b9-NdVbEARDn-O1KGlxh4iUE__LL”,         “ refreshToken": "ba69op6soz4wad74qrFHRDsmJJAXnapscoPnh4ccaO9IsUC0Vfc8__xBiA0KtQh4",         "idToken": "eyJhbGciOiJSUzI1NiIsImtpZCI6IjMwZTYxNWM1ODY3NDkwY3NU1Z. .."0045     },     «пользователь»: {         «given_name»: «Джейн»,         «sub»: «b317175e-a993-4117-ab34-f7413053667f»       } } }

   
   

7. Отсюда приложение может улучшать и персонализировать взаимодействие с пользователем по желанию. Например:

   • Перенаправить пользователя на определенную целевую страницу на основе информации о его состоянии, сеансе или профиле
   • Отображение персонализированных элементов, таких как имя пользователя и аватар
   • Параметры отображения и выпуск содержимого доступны только зарегистрированным пользователям

Совет! Шпаргалка по управлению сеансами OWASP — отличный источник передовых методов управления сеансами , включая рекомендации по идентификатору сеанса и файлам cookie.

Примеры журналов для сценариев входа

На этой странице перечислены примеры серий событий, которые Cribl Stream записывает в распространенных сценариях входа. Cribl Stream фиксирует серию событий как для успешных, так и для неудачных попыток входа в систему. Обратите внимание, что в этих образцах отсутствуют следующие повторяющиеся поля, которые фиксируются в каждом журнале:

• CID : API
• Канал : CRIBL
• . -03-30T03:09:55.569Z","message":"Выполняется поиск LDAP","searchBase":"dc=mydomain,dc=com","filter":"(sAMAccountName=admin)","options" :{"scope":"sub","filter":"(sAMAccountName=admin)"}}

  {"time":"2022-03-30T03:09:55.575Z","сообщение":"Результаты поиска пользователей LDAP","количество":1,"имя пользователя":"УДАЛЕНО","пользователь":{"dn":"CN=admin,CN=Users,DC= mydomain,DC=com","memberOf":["CN=admingrp,CN=Users,DC=mydomain,DC=com"]}}

  {"time":"2022-03-30T03:09: 55.582Z","канал":"LDAPMapper","уровень":"отладка","сообщение":"Обнаружены внешние группы","группы":["admingrp","Пользователи"]}

  {" время":"2022-03-30T03:09:55. 583Z","сообщение":"Успешный вход в систему","пользователь":"администратор","поставщик":"ldap:win2008ad1.mydomain.com:389"}

  Успешная аутентификация с откатом при неправильном входе в систему :"dc=mydomain,dc=com","filter":"(sAMAccountName=admin)","options":{"scope":"sub","filter":"(sAMAccountName=admin)"}}

  {"время":"2022-03-30T03:10:48.393Z","сообщение":"Результаты поиска пользователей LDAP","количество":1,"имя пользователя":"УДАЛЕНО","пользователь": {"dn":"CN=admin,CN=Users,DC=mydomain,DC=com","memberOf":["CN=admingrp,CN=Users,DC=mydomain,DC=com"]}}

  {"время":"2022-03-30T03:10:48.399Z","сообщение":"Попытка возврата к локальной аутентификации","причина":"неудачный вход в систему","поставщик":"ldap: win2008ad1.mydomain.com:389","пользователь":"admin"}

  {"время":"2022-03-30T03:10:48.400Z","сообщение":"Успешный вход","пользователь ":"admin","provider":"local"}

  Ошибка аутентификации с откатом, когда неверный вход отключен​

  {"time":"2022-03-30T03:11:54. 175Z"," message":"Выполняется поиск LDAP","searchBase":"dc=mydomain,dc=com","filter":"(sAMAccountName=admin)","options":{"scope":"sub","filter ":"(sAMAccountName=admin)"}}

  {"время":"2022-03-30T03:11:54.178Z","сообщение":"Результаты поиска пользователей LDAP","количество":1,"имя пользователя":"УДАЛЕНО","пользователь" :{"dn":"CN=admin,CN=Users,DC=mydomain,DC=com","memberOf":["CN=admingrp,CN=Users,DC=mydomain,DC=com"]}}

  {"время":"2022-03-30T03:11:54.184Z","уровень":"предупреждение","сообщение":"Ошибка входа","пользователь":"админ","поставщик": "ldap:win2008ad1.mydomain.com:389","details":{"message":"800

  : LdapErr: DSID-0C0903A9, комментарий: ошибка AcceptSecurityContext, данные 52e, v1db1\u0000 Код: 0x31","stack": "Ошибка: 800

  : LdapErr: DSID-0C0903A9, комментарий: ошибка AcceptSecurityContext, данные 52e, v1db1\u0000 Код: 0x31

  Неправильный пароль привязки прокси-сервера с откатом при возникновении фатальной ошибки

  {"time": "3022" -30T03:04:16. 400Z","уровень":"предупреждение","сообщение":"Ошибка поставщика аутентификации","поставщик":"ldap:win2008ad1.mydomain.com:389","фатальный":{"сообщение ":"800

  : LdapErr: DSID-0C0903A9, комментарий: ошибка AcceptSecurityContext, данные 52e, v1db1\u0000 Код: 0x31","стек":"Ошибка: 800

  : LdapErr: DSID-0C0903A9, комментарий: ошибка AcceptSecurityContext, данные 52e, v1db1\u0000 Код: 0x31\n в Function.parse [snip]

  {"время":"2022-03-30T03:04:16.401 Z","message":"Попытка возврата к локальной аутентификации","причина":"ошибка провайдера","провайдер":"ldap:win2008ad1.mydomain.com:389","пользователь":"admin","ошибка ":{"message":"800

  : LdapErr: DSID-0C0903A9, комментарий: ошибка AcceptSecurityContext, данные 52e, v1db1\u0000 Код: 0x31","stack":"Ошибка: 800

  : LdapErr: DSID-0C0903A9, комментарий: ошибка AcceptSecurityContext, данные 52e, v1db1\u0000 Код: 0x31

  Успешная аутентификация без

  memberOf для запуска поиска группы, но без членства в группе :21.