Как организовать аутентификацию пользователя на backend сервере?

Question

[hAlex]

Здравствуйте господа.

Аутентификацию на сервере можно пройти через логин+пасс или oAuth, получаем токен и работам с api.
Но приложение может работать в фоновом режиме и если токен истекает, то нужно по тихому заново авторизоваться, если хранить логин и пароль на устройстве то это возможно, но если это необходимо сделать через oAuth то без взаимодействия с пользователем никак, и я в ступоре.
Из вариантов
1) если используем oauth для входа, то выдавать два токена, с первым выполнять запросы к апи, а вторым получать новый токен.
2) выдавать бессмертный токен(использую https)
3) чую что есть вариант получше и нужно его узнать.

Подскажите как правильно мыслить при такой задаче.

Answer 1

[eremeevdev]

Возможно вам пригодится эта ссылка: Verifying Back-End Calls from Android Apps

Answer 2

[Александр]

Насколько я наблюдал за поведением на разных проектах, oAuth используется преимущественно для установления взаимосвязи со своей базой учетных записей. То есть, если у вас работа приложения не завязана на прямой работе с API социальной сети, то есть смысл использовать свою базу учёток и оперировать своим токеном для поддержания сессии. Вроде тривиально. Или я что-то упустил?

Comments

[hAlex]

Так и будет, но мой токен может expire, что делать?

[Александр]

@hAlex заставить пройти заново аутентификацию. У токена TTL не обязан быть в пределах минут ведь. Несколько часов - вполне нормально.

Answer 3

[Юрий Ярош]

Возможно будет проще реализовать метод для продления времени жизни токена в случае работы приложения в бэкграунде ?

Comments

[hAlex]

Почти тоже самое что и токен без срока годности, но на сколько это правильно?

[Григорий]

Не почти, если пользователь закрыл приложение. Токен "протухнет" и нужна будет новая авторизация. Вам правильно советуют.

[alex_bel]

Почему он должен протухнуть? У нас в приложении токен без срока годности. Меняется только тогда, когда пользователь сам разлогинивается.

[Юрий Ярош]

Токен должен "тухнуть", потому что zombie-tokens это большая дыра в безопасности в случае mitm воровства и т.п. Кроме этого ещё нужно использовать различные маркеры API для исследования поведения приложений и локализации аномаллий... но это уже совсем другуя история.