IT-AleX Dec 17 2017 at 15:50

Простая реализация Token для взаимодействия мобильного приложения с WebAPI

3 min

8.9K

Development of mobile applications*Visual Studio*API*C#*Xamarin*

From sandbox

Comments 13

Mikluho Dec 17 2017 at 17:58

Ох, зря Вы так… Ведь и правда закидают.
Ваша реализация крайне небезопасна. С точки зрения механизма, у вас не токен, а сессионная кука.
Но хуже всего сама аутентификация. Серьёзно, поиск по частичному совпадению логина и пароль с чистом виде?

IT-AleX Dec 28 2017 at 14:27

уж буду переделывать, по требованию СБ для выкладывания наружу — SSL + Token привязанный к устройству, но просто велосипед изобретался из-за желания простоты реализации и по причине того что в соответствии с мыслями, примеров не нашёл в сети :)

McElroy Dec 17 2017 at 21:47

использования каких-нибудь пакетов из NuGet, чего хотелось бы по максимуму избежать

а в чем проблема использования пакетов из NuGet?

IT-AleX Dec 28 2017 at 14:29

не люблю лишнее :) взять тот же пакет WinSCP… запарило… по непонятным причинам (не трогая NuGet) делаю релиз приложения WinForm выкладываю на ресурс, а выскакивает ошибка несоответствия версий между EXE и DLL… потому и не люблю лишнее… только от безысходности :)

-2

McElroy Dec 28 2017 at 19:44

т.е. Вы считаете, что это достаточный аргумент для написания велосипеда, вместо использования библиотеки, которая обкатана во многих проектах? а как же быть с .net core, там где Framework по NuGet пакетам распилили? будете весь Framework переписывать чтобы избежать использования NuGet?

nomoreload Dec 18 2017 at 01:14

Для авторизации есть OAuth 2.0.
Для аутентификации — OpenID Connect 1.0.
Зачем изобретать изобретённое?
В случае дотнета — есть IdentityServer, который реализует оба протокола.

Daar Dec 18 2017 at 07:26

Такие штуки я писал лет 15 назад :)))

yarosroman Dec 18 2017 at 08:10

Эх огорчу вас с вашим велосипедом, в ASP.Net (что в Core, что в классическом) уже есть возможность работы с JWT Bearer токенами. В вашем велосипеде придется в каждый акшн добавлять проверку токена, когда при использовании JWT, просто добавить атрибут [Authorize] к контроллеру и все. Плюс, к тому токену можно прицепить кучу инфы(данные пользователя, время действия токена и тд.). А ваше решение даже безопасным нельзя назвать.

mayorovp Dec 18 2017 at 09:22

Зря вы используете нестандартный заголовок HTTP без префикса X-, это может однажды плохо кончиться. Надо или использовать заголовок X-Token вместо Token, или воспользоваться стандартным `Authorization: Bearer ...` либо полустандартным `Authorization: Token ...`.

Ну и аутентификацию надо делать фильтрами, а не писать один и тот же код в каждом методе.

radium Dec 19 2017 at 01:34

Рекомендация использовать X-префиксы устарела в 2012 году с выходом RFC6648.

Creators of new parameters to be used in the context of application
protocols:

1. SHOULD assume that all parameters they create might become
standardized, public, commonly deployed, or usable across
multiple implementations.

2. SHOULD employ meaningful parameter names that they have reason to
believe are currently unused.

3. SHOULD NOT prefix their parameter names with «X-» or similar
constructs.

Dobby007 Dec 18 2017 at 10:42

Оказывается пока приложение активно в App.Current.Properties могут хранится любые объекты, в том числе и объекты с данными собственных классов, но при «убиении» процесса если там было что-то отличное от «простых» объектов — содержимое App.Current.Properties отчищается, но если там хранить только простые объекты — string, bool, int и т.п. то всё останется сохраненным!

Я не работал с Xamarin, но мне кажется, что тут дело в возможности сериализации объектов. Вы не пробовали пометить свои кастомные классы атрибутом Serializable?

IT-AleX Dec 28 2017 at 14:24

пробовать не пробовал, но вопрос — почему они «живут» пока работает приложение, и уничтожаются при убиении процесса приложения?.. при тех же данных — если в проперти «простые» объекты — уничтожения нет…

McElroy Dec 28 2017 at 19:45

вероятно, причина в том, что .net знает, как сохранять «простые» объекты, а как быть с Вашими — нет

Show the best of all time