B2B SaaS集成的最佳认证技巧
发布时间：2022-08-23 14:50:02 所属栏目：安全 来源：互联网
导读：在软件开发的早期，身份验证（也称认证）作为确保只有持有正确身份标识的用户，才能登录应用的基本手段，已成为了保障系统和数据安全的要素之一。如今，如果您正在构建从SaaS产品连接到其他应用平台的原生集成，那么其中最棘手的问题莫过于：如何去认证第三
|
在软件开发的早期，身份验证（也称认证）作为确保只有持有正确身份标识的用户，才能登录应用的基本手段，已成为了保障系统和数据安全的要素之一。如今，如果您正在构建从SaaS产品连接到其他应用平台的原生集成，那么其中最棘手的问题莫过于：如何去认证第三方应用。有时候，您需要为自己的应用单独设置身份验证的方式，而有时候您则需要通过配置集成，以使用对方提供的身份验证模式。而无论处于哪种情况，了解用户身份验证的基本工作原理，无疑能够为您节省集成或二次开发的宝贵时间。 在HTTP中，最简单的基本认证用例是将用户名和密码以 : 分割，并使用base64对整体进行编码。接着，我们将整个base-64编码过的字符串作为HTTP请求的头（请参见如下代码）： 复制 curl <https://example.com> --header "Authorization: Basic bXl1c2VyOm15UEBzU3cwUmQ=" 1. 2. 为了确保能够符合标准，请始终使用带有Basic {base64 encoded username:password} value的头部作为Authorization前缀。 而更简单的方法是将用户名和密码直接放在URL的开头。例如： 复制 curl https://myuser:myP%40sSw0rd@example.com 1. 不过，由于是在公开环境中传输信任凭证，而且任何人都可以读取到，因此该方式并非良好的安全实践，不可被用于安全性较高的集成环境中。 SaaS团队为何使用基本身份验证方法进行集成 基本身份验证的原理不但十分简单而且容易实现，您只需解码base64编码的报头，并验证用户名和密码的组合是否正确即可。由于其简单性，当您不使用API或第三方集成平台，在内部构建自定义集成时，基本身份验证方法就能及时派上用场。 使用基本身份验证方法在集成时需考虑的事项 虽然基本认证方法实现起来很简单，但是存在着一些缺点：由于每个集成都获得了相同的信任凭据，因此我们难以限制凭据的使用范围。也就是说，由于每个集成都可以执行凭证所允许的所有操作，因此您无法通过更改绑定的凭据，来实现细粒度的授权。而如果要更改凭据，则需要让使用它们的每个集成，都被赋予新的凭据。可见，这种大量手动设置和更新凭据的方法，并不适合大规模的身份验证集成。 了解API密钥身份验证方法 API密钥是一种可被用于识别与身份验证的单个字符串。它往往适用于在引用使用API（应用程序编程接口）集成的时候。基于API密钥的身份验证，在现代化SaaS应用中十分常见。它们也通常被称为基于令牌的身份验证（token-based auth）。 为了使用API密钥的身份验证方式，应用程序需要创建一个可供集成的密钥。通常，你可以在应用中创建一个“Settings”或“Profile”的菜单。 （编辑：应用网_丽江站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330468号