Hvernig á að bæta innskráningu við appið þitt: lykilorð, töfrahlekkir, Google og hlutverk

Til að bæta innskráningu við app velurðu aðferð — netfang og lykilorð, töfrahlekki (einnota innskráningarhlekk sem er sendur í tölvupósti), eða „Sign in with Google“ — og innleiðir hana með sannreyndu auðkenningarbókasafni eða hýstri þjónustu í stað þess að smíða hana frá grunni. Ákveddu síðan hvað hver tegund notanda má gera (hlutverk), og framfylgdu því á þjóninum fyrir hverja síðu og hverja API-beiðni. Setur eiga að nota örugga köku, renna út, og enda rétt við útskráningu.

Þessi leiðbeining fer yfir hvern valkost og smáatriðin sem skilja að virka innskráningu og örugga innskráningu. Hugtökin að baki henni er að finna í hvað er auðkenning.

Ákveddu fyrst: þarftu innskráningu yfirhöfuð?

Innskráning bætir við fyrirhöfn og ábyrgð. Þú þarft hana þegar:

• Notendur eiga einkagögn (bókanir, skjöl, reikninga)
• Notendur geta breytt einhverju sem aðrir sjá
• Þú rukkar fyrir aðgang
• Mismunandi fólk þarf mismunandi heimildir (eigandi vs. starfsfólk vs. viðskiptavinur)

Þú þarft hana ekki fyrir markaðssíðu, opna skrá eða eyðublað sem sendir þér bara tölvupóst. Biðlisti þarf ekki aðganga; reitur fyrir netfang nægir.

Algengu aðferðirnar fjórar

Mörg öpp sameina tvær: Google-innskráning ásamt töfrahlekkjum í tölvupósti er vinsæl samsetning sem nær til flestra án þess að geyma nokkur lykilorð.

Netfang og lykilorð

Ef þú býður upp á lykilorð eru þessi atriði óhjákvæmileg:

• Kjötkössuðu (hash) lykilorð með hægum reiknirit fyrir lykilorðakjötkássun. Leiðbeiningar OWASP um geymslu lykilorða mæla með Argon2id, með scrypt, bcrypt eða PBKDF2 sem valkostum. Geymdu aldrei lykilorð í skýrum texta eða með hröðu almennu kjötkássu.
• Endurstillingar lykilorða nota handahófskenndan, einnota hlekk sem rennur út og er sendur á staðfest netfang.
• Ekki sýna hvaða netföng eru með reikning. „Ef þetta netfang er skráð höfum við sent endurstillingarhlekk“ er betra en „Enginn reikningur fannst“.
• Takmarkaðu tíðni innskráningar- og endurstillingartilrauna til að hægja á lykilorðagiskunum.
• Leyfðu löng lykilorð og lykilorðastjóra; slepptu reglum sem neyða fram undarlega blöndu stafa.

Töfrahlekkir og einnota kóðar

Töfrahlekkur er innskráningarhlekkur sem er sendur í tölvupósti til notandans. Með því að smella á hann er notandinn skráður inn. Einnota kóði er sama hugmynd, nema slegið inn í stað þess að smellt sé.

• Hlekkir og kóðar renna hratt út og virka aðeins einu sinni.
• Hlekkurinn á að skrá notandann inn í tækinu þar sem hann smellti, og táknið má ekki vera í skrám eða greiningarverkfærum.
• Þú þarft áreiðanlegan tölvupóst — sjá hvernig á að senda tölvupóst úr appinu þínu. Prófaðu með Gmail og Outlook og athugaðu ruslpóstmöppur.

Sign in with Google (og aðrir OAuth-veitendur)

„Sign in with Google“ notar OAuth og OpenID Connect: Google staðfestir hver notandinn er og segir appinu þínu netfang hans og nafn. Uppsetning, frá september 2026, fer fram í hlutanum Google Auth Platform í Google Cloud Console:

1. Búðu til eða veldu verkefni, og fylltu út síðuna Branding — það sem notendur sjá á samþykkisskjánum (heiti appsins, stuðningsnetfang, merki).
2. Á síðunni Clients býrðu til biðlara af gerðinni „Web application“.
3. Bættu við leyfðum JavaScript-uppruna og endurvísunarslóðum (redirect URI) — nákvæmu vistföngunum sem appið þitt keyrir á og sem Google sendir notendur til baka á eftir innskráningu.
4. Geymdu auðkenni biðlarans og biðlaraleyndarmálið í leyndarmálum appsins.

Hlutir sem oft fara úrskeiðis, samkvæmt OAuth-skjölum Google:

• redirect_uri_mismatch: endurvísunarslóðin verður að passa nákvæmlega, þar með talið http vs. https, hástafir og skástrik í lokin. Bættu við einni fyrir forskoðunarvistfangið þitt og einni fyrir lifandi lénið.
• HTTPS er krafist: endurvísunarslóðir verða að nota HTTPS, nema localhost í þróun.
• Breytan state á að athuga þegar notandinn kemur til baka, til að verjast beiðnafölsun milli vefsvæða (CSRF). Góð bókasöfn gera það fyrir þig.

Ef þú biður aðeins um grunnupplýsingar um innskráningu (nafn, netfang, prófíl) segir Google að staðfesting appsins sé ekki skylda. Að biðja um aðgang að Gmail, Drive eða dagatali notenda er annað og krefst staðfestingar.

Smíða sjálfur eða nota þjónustu?

Báðir fyrstu valkostirnir eru eðlilegir. Hýstar þjónustur gera meira fyrir þig en bæta við háð og kosta stundum á virkan notanda; athugaðu núverandi verð á vefsíðum þeirra. Bókasöfn halda öllu í þínum gagnagrunni en skilja meira eftir fyrir þig að stilla rétt. Hvort sem þú velur, láttu gervigreindina nota það í stað þess að handskrifa lykilorða- eða setukóða.

Hlutverk og heimildir

Innskráning segir þér hver einhver er. Heimildir ákveða hvað hann má gera. Hafðu þetta einfalt í upphafi:

Reglur sem skipta meira máli en heiti hlutverkanna:

• Athugaðu á þjóninum, í hvert skipti. Að fela hnapp á síðunni stöðvar engan sem kallar beint á API-ið.
• Takmarkaðu við eiganda. Meðlimur sem sækir „bókun 123“ á aðeins að fá hana ef hún er hans.
• Notendur geta ekki hækkað sig sjálfir. Hunsaðu hlutverkasvið sem berast frá vafranum við uppfærslu prófíls.
• Sjálfgefið er enginn aðgangur. Nýjar leiðir krefjast innskráningar nema þú ákveðir annað.

Prófaðu með tveimur reikningum: skráðu þig inn sem annar, skráðu auðkenni færslu, skráðu þig inn sem hinn og reyndu að opna hana. Öryggisgátlistinn okkar er með alla prófunina.

Öryggi setu

Eftir innskráningu man appið eftir notandanum með setu — venjulega köku. OWASP-leiðbeiningar um setustjórnun mæla með:

• Setukökur stilltar með Secure (aðeins HTTPS), HttpOnly (ólesanlegar fyrir skriftur á síðunni) og SameSite
• Nýtt setuauðkenni gefið við innskráningu, og aftur þegar réttindi breytast
• Aðgerðaleysismörk og hámarkslíftími, framfylgt á þjóninum
• Útskráning sem lýkur setunni á þjóninum, ekki bara eyðir kökunni
• Setur ógiltar þegar notandi breytir lykilorði sínu

Að geyma innskráningartákn í local storage í vafranum er algengt í kennsluefni en gerir þau aðgengileg öllum skriftum sem keyra á síðunni; öruggar kökur eru yfirleitt betra sjálfgefið val fyrir vefforrit.

Fyrirmæli sem ná yfir grunnatriðin

Bættu notendaaðgöngum við þetta app. Notendur geta skráð sig og skráð sig inn með netfangi og lykilorði, eða með Google. Notaðu [bókasafn eða þjónustu] í stað sérsmíðaðs auðkenningarkóða. Kjötkössuðu lykilorðin með Argon2id eða bcrypt. Bættu við endurstillingu lykilorðs með tölvupósti með einnota hlekk sem rennur út eftir eina klukkustund. Geymdu setur í öruggum HttpOnly-kökum. Verndaðu /dashboard og hverja /api-leið svo aðeins innskráðir notendur geti notað þær, og tryggðu að notendur sjái aðeins eigin verkefni. Bættu við hlutverkinu „admin“ sem getur séð alla notendur; aðeins stjórnendur komast á /admin, athugað á þjóninum.

Prófaðu síðan: skráðu þig, skráðu þig út, skráðu þig inn, endurstilltu lykilorðið, reyndu einkaslóð án innskráningar, og reyndu færslu annars notanda.

Algeng mistök í gervigreindarsmíðaðri innskráningu

• Vernd aðeins í síðunni. Síðan vísar innskráðum notendum frá, en API-ið skilar gögnum til hvers sem er.
• Leyndarmál í vafranum. OAuth-biðlaraleyndarmál og stjórnunarlyklar auðkenningarþjónustu eiga heima á þjóninum.
• Forskoðunar- og lifandi slóðir ruglaðar saman. Endurvísunarslóð Google eða hlekkurinn í endurstillingarpóstinum vísar á forskoðun, svo innskráning brotnar eftir birtingu.
• Engin staðfesting á netfangi. Hver sem er getur skráð sig sem netfangið anyone@company.com. Staðfestu netfang áður en þú veitir eitthvað sem tengist því.
• Prófun aðeins á hamingjuleiðinni. Prófaðu röng lykilorð, útrunna hlekki og annan reikning.

Innskráning í Mythex

Í Mythex er innskráning fyrir notendur appsins þíns eitthvað sem þú bætir við appið — hún er aðskilin frá eigin Mythex-reikningi þínum. Mythex býður ekki upp á innbyggða auðkenningarvöru, svo þú kemur með auðkenningarbókasafn eða þjónustu og lykla hennar:

1. Veldu nálgun — til dæmis netfang og lykilorð geymt í eigin gagnagrunni, eða SDK frá hýstri þjónustu.
2. Ef þú geymir notendur sjálfur þarf appið gagnagrunn; biddu um hann í spjallinu eða notaðu /database.
3. Settu lykla þjónustunnar í leyndarmál verkefnisins (/secrets eða verkefnastillingar).
4. Notaðu fyrirmæli eins og hér að ofan, og prófaðu síðan í Preview. Fyrir innskráningu með Google skaltu bæta við endurvísunarslóðum fyrir bæði forskoðun og birt vistfang.

Sjá Bættu innskráningu við appið þitt í skjölunum. Ef þú ert að smíða greidda vöru fjallar hvernig á að smíða SaaS MVP um aðganga og greiðslur saman.

Spurningar