javascript - OAuth 流程通过 phonegap 和服务器端对用户进行身份验证

Question

我已经看到了 phonegap 身份验证和基于 JS 的服务器应用程序身份验证。我正在尝试为我的 J2EE 电子商务应用程序构建一个 phonegap 应用程序。 J2EE 应用程序为我的 phonegap 应用程序提供了基于 rest 的 api。我想使用 OAuth 身份验证，以便在手机屏幕上提示用户进行身份验证，如何实现？

我了解通过 JS 进行的 oauth 身份验证，但想知道如何确保 J2EE 应用程序获得正确的经过身份验证的用户请求。

Answer 1

您可以使用 Stormpath 的 Servlet Plugin在你的网络应用程序中。这为您实现了 JS 客户端 + OAuth token 身份验证流程 documented here .

当JS客户端拿到返回的token时，也是在一个HTTPS-only(secure，http only)cookie中返回的。对您的应用程序的所有 future 请求都将保留该 token 并发送它 - 服务器插件知道如何查看 token 、验证数字签名并将用户帐户身份“绑定(bind)”到请求。

这使您可以使用服务器端 session (无服务器端状态 = 高度可扩展)安全地识别哪个用户正在发出给定请求。只要您从登录到用户注销都使用 HTTPS，您就可以信任该身份。