iphone - 使用 Plone 从移动设备验证用户

Question

我开始创建一个需要使用 Plone 用户的 iPhone/Android 应用程序(即在网站上注册，然后在您的手机上使用该应用程序)。

执行此操作的最佳方法是什么？我见过一些使用 OAuth 或其他技术的应用程序，这些应用程序目前支持 Plone4(正好是 4.0.3)。

我的用户在 LDAP 服务器 (OpenLDAP) 上，但即便如此我仍然必须让他们登录 Plone 以便能够从那里向手机发送和检索数据。

Answer 1

您有 3 个选项，您的选择取决于您的技能和愿意投入多少时间:

基本授权

让您的用户在应用中输入用户名和密码，然后仅使用 HTTP BasicAuth header 访问网站。 Plone 支持开箱即用的基本身份验证。

这不是最安全的方法；密码基本上以 base64 编码发送，因此您可能希望使用 HTTPS 与服务器通信。在任何情况下进行身份验证都是一个好主意。

Cookie 身份验证

发送一个带有__ac_name和__ac_password项目的POST请求到你Plone网站上的'/login_form'，并捕获Set-Cookie头在响应中，包含 __ac cookie。这是您可以在任何后续请求中使用的 tk-auth 身份验证 token 。这是一个安全的 cookie，但任何嗅探 HTTP 通信流的攻击者都可以重新使用它，因此 HTTPS 再次成为安全的通信方式。

OAuth

Plone(还)不支持开箱即用的 OAuth，但与 python-oauth 集成应该是微不足道的。这很可能需要编写 PluggableAuthSystem (PAS) 插件。