Kako dodati prijavo v svojo aplikacijo: gesla, čarobne povezave, Google in vloge

Prijavo v aplikacijo dodate tako, da izberete način — e-pošto in geslo, čarobne povezave (enkratna povezava za prijavo, poslana po e-pošti) ali »Prijava z Googlom« — in ga implementirate s preizkušeno knjižnico za avtentikacijo ali gostovanim ponudnikom, namesto da bi ga pisali od začetka. Nato določite, kaj sme vsak tip uporabnika (vloge), in to uveljavite na strežniku za vsako stran in zahtevo API-ja. Seje naj uporabljajo varne piškotke, naj potečejo in se pravilno končajo ob odjavi.

Ta vodnik obravnava vsako izbiro in podrobnosti, ki ločijo delujočo prijavo od varne. Za koncepte glejte kaj je avtentikacija.

Najprej se odločite: sploh potrebujete prijavo?

Prijava doda trenje in odgovornost. Potrebujete jo, ko:

• Uporabniki imajo zasebne podatke (svoje rezervacije, dokumente, račune)
• Uporabniki lahko spreminjajo stvari, ki jih bodo drugi videli
• Dostop zaračunavate
• Različni ljudje potrebujejo različna dovoljenja (lastnik proti sodelavcu proti stranki)

Morda je ne potrebujete za trženjsko stran, javni imenik ali obrazec, ki vam samo pošlje e-pošto. Seznam za čakanje ne potrebuje računov; dovolj je polje za e-pošto.

Štiri pogoste metode prijave

Mnoge aplikacije kombinirajo dve: prijava z Googlom plus čarobne povezave po e-pošti je priljubljen par, ki pokrije večino ljudi, ne da bi shranjevali kakršna koli gesla.

E-pošta in geslo

Če ponujate gesla, so to neogibne zahteve:

• Gesla zgoščujte z počasnim algoritmom za zgoščevanje gesel. Smernice OWASP za shranjevanje gesel priporočajo Argon2id, alternative pa so scrypt, bcrypt ali PBKDF2. Gesel nikoli ne shranjujte v čistem besedilu ali s hitro splošno zgoščevalno funkcijo.
• Ponastavitve gesla uporabljajo naključno, enkratno povezavo, ki poteče, poslano na preverjeno e-pošto.
• Ne razkrijte, kateri e-poštni naslovi imajo račune. »Če je ta e-pošta registrirana, smo poslali povezavo za ponastavitev« je boljše kot »Računa ni bilo mogoče najti«.
• Omejite število poskusov prijave in ponastavitve, da upočasnite ugibanje gesel.
• Dovolite dolga gesla in upravitelje gesel; opustite pravila, ki zahtevajo nenavadne kombinacije znakov.

Čarobne povezave in enkratne kode

Čarobna povezava je povezava za prijavo, poslana uporabniku po e-pošti. Če nanjo klikne, se prijavi. Enkratna koda je enaka zamisel, samo da jo uporabnik vtipka namesto da klikne.

• Povezave in kode hitro potečejo in delujejo samo enkrat.
• Povezava naj prijavi uporabnika v napravi, kjer je kliknil, žeton pa ne sme ostati v dnevnikih ali orodjih za analitiko.
• Potrebujete zanesljivo pošiljanje e-pošte — glejte kako pošiljati e-pošto iz aplikacije. Preizkusite z Gmailom in Outlookom ter preverite mapo za neželeno pošto.

Prijava z Googlom (in drugi ponudniki OAuth)

»Prijava z Googlom« uporablja OAuth in OpenID Connect: Google potrdi, kdo je uporabnik, in vaši aplikaciji sporoči njegov e-poštni naslov in ime. Nastavitev se od septembra 2026 opravi v razdelku Google Auth Platform v Google Cloud Console:

1. Ustvarite ali izberite projekt in izpolnite stran Branding — kar uporabniki vidijo na zaslonu soglasja (ime aplikacije, e-pošta za podporo, logotip).
2. Na strani Clients ustvarite odjemalca vrste »Web application«.
3. Dodajte authorized JavaScript origins in redirect URI — točne naslove, na katerih teče vaša aplikacija in na katere Google uporabnike vrne po prijavi.
4. Client ID in client secret shranite med tajnosti aplikacije.

Stvari, ki se pogosto zataknejo, po dokumentaciji Googlovega OAuth-a:

• redirect_uri_mismatch: naslov za preusmeritev se mora ujemati natančno, vključno z http proti https, velikimi in malimi črkami ter končno poševnico. Dodajte enega za svoj naslov predogleda in enega za svojo živo domeno.
• Zahtevan HTTPS: URI-ji za preusmeritev morajo uporabljati HTTPS, razen localhost med razvojem.
• Parameter state je treba preveriti ob vrnitvi, da se zaščitite pred ponarejanjem zahtevkov med spletnimi mesti. Dobre knjižnice to naredijo namesto vas.

Če zahtevate samo osnovne podatke za prijavo (ime, e-pošto, profil), Google pravi, da preverjanje aplikacije ni obvezno. Zahteva dostopa do Gmaila, Drive ali koledarja uporabnikov je drugačna in zahteva preverjanje.

Zgradite sami ali uporabite ponudnika?

Oba prva sta razumna. Gostovani ponudniki naredijo več namesto vas, vendar dodajo odvisnost in včasih stanejo na aktivnega uporabnika; trenutne cene preverite na njihovih straneh. Knjižnice vse hranijo v vaši bazi, vendar vam pustijo več za pravilno konfiguracijo. Ne glede na izbiro AI-ja naročite, naj uporabi to, namesto da ročno piše logiko gesel ali sej.

Vloge in dovoljenja

Prijava vam pove, kdo je nekdo. Dovoljenja odločijo, kaj sme narediti. Na začetku ohranite preprostost:

Pravila, ki so pomembnejša od imen vlog:

• Preverite na strežniku, vsakič. Skrivanje gumba na strani ne prepreči, da bi kdo neposredno klical API.
• Omejite na lastnika. Član, ki pridobi »rezervacijo 123«, jo sme dobiti samo, če je njegova.
• Uporabniki ne morejo napredovati sami. Polja vlog, poslana iz brskalnika ob posodobitvi profila, ignorirajte.
• Privzeto brez dostopa. Nove poti naj zahtevajo prijavo, razen če se odločite drugače.

Preizkusite z dvema računoma: prijavite se kot prvi, zapišite ID zapisa, nato se prijavite kot drugi in poskusite odpreti ta zapis. Naš varnostni kontrolni seznam vsebuje celoten test.

Varnost seje

Po prijavi aplikacija uporabnika zapomni s sejo — običajno s piškotkom. Smernice OWASP za upravljanje sej priporočajo:

• Piškotki seje nastavljeni z Secure (samo HTTPS), HttpOnly (skripte strani jih ne morejo brati) in SameSite
• Nov ID seje ob prijavi in znova, ko se spremenijo pravice
• Časovna omejitev neaktivnosti in absolutna največja življenjska doba, uveljavljeni na strežniku
• Odjava, ki konča sejo na strežniku, ne samo izbriše piškotka
• Seje se razveljavijo, ko uporabnik spremeni geslo

Shranjevanje žetonov za prijavo v lokalno shrambo brskalnika je v vadnicah pogosto, vendar jih izpostavi vsaki skripti, ki teče na strani; varni piškotki so ponavadi boljša privzeta izbira za spletne aplikacije.

Poziv, ki pokrije bistvo

Dodaj uporabniške račune v to aplikacijo. Uporabniki se lahko registrirajo in prijavijo z e-pošto in geslom ali z Googlom. Uporabi [knjižnica ali ponudnik] namesto lastne kode za avtentikacijo. Gesla zgoščuj z Argon2id ali bcrypt. Dodaj ponastavitev gesla po e-pošti z enkratno povezavo, ki poteče v eni uri. Seje hrani v varnih piškotkih HttpOnly. Zaščiti /dashboard in vsako pot /api, da jih lahko uporabljajo samo prijavljeni uporabniki, in poskrbi, da uporabniki vidijo samo svoje projekte. Dodaj vlogo »admin«, ki lahko vidi vse uporabnike; do /admin lahko dostopajo samo skrbniki, preverjeno na strežniku.

Nato preizkusite: registrirajte se, odjavite, prijavite, ponastavite geslo, poskusite zasebni URL, ko niste prijavljeni, in poskusite zapis drugega uporabnika.

Pogoste napake pri prijavi, zgrajeni z AI

• Zaščita samo na strani. Stran preusmeri odjavljene uporabnike, API pa vrne podatke vsakomur.
• Tajnosti v brskalniku. Skrivnosti odjemalca OAuth in skrbniški ključi ponudnika avtentikacije sodijo na strežnik.
• Pomešani živi in predogledni URL-ji. Googlov URI za preusmeritev ali povezava za ponastavitev v e-pošti kaže na predogled, zato se prijava po objavi zlomi.
• Brez preverjanja e-pošte. Kdorkoli se lahko registrira kot anyone@company.com. Preverite e-pošto, preden podelite kar koli, povezanega s tem naslovom.
• Testiranje samo poti sreče. Preizkusite napačna gesla, potečene povezave in drugi račun.

Dodajanje prijave v Mythexu

V Mythexu je prijava za uporabnike vaše aplikacije nekaj, kar dodate svoji aplikaciji — loči se od vašega lastnega računa Mythex. Mythex ne ponuja vgrajenega izdelka za avtentikacijo, zato prinesete knjižnico za avtentikacijo ali ponudnika in njegove ključe:

1. Izberite pristop — na primer e-pošto in geslo, shranjena v vaši bazi, ali SDK gostovanega ponudnika.
2. Če uporabnike shranjujete sami, aplikacija potrebuje bazo podatkov; zahtevajte jo v klepetu ali uporabite /database.
3. Ključe ponudnika shranite v tajnosti projekta (/secrets ali nastavitve projekta).
4. Uporabite poziv, kot je zgornji, nato preizkusite v Predogledu. Za prijavo z Googlom dodajte URI-je za preusmeritev za svoj predogled in za objavljeni naslov.

Glejte Dodajte prijavo v svojo aplikacijo v dokumentaciji. Če gradite plačljiv izdelek, kako zgraditi SaaS MVP obravnava račune in zaračunavanje skupaj.

Vprašanja