మీ యాప్‌కి లాగిన్ ఎలా జోడించాలి: పాస్‌వర్డ్‌లు, మ్యాజిక్ లింక్‌లు, Google మరియు రోల్స్
మీ యాప్‌కి లాగిన్ జోడించడానికి, ఒక పద్ధతి ఎంచుకోండి — ఇమెయిల్ మరియు పాస్‌వర్డ్, మ్యాజిక్ లింక్‌లు (ఇమెయిల్ ద్వారా పంపిన ఒక్కసారి మాత్రమే పనిచేసే సైన్-ఇన్ లింక్), లేదా "Google తో సైన్ ఇన్" — మరియు సొంతంగా మొదటి నుండి కాకుండా నిరూపితమైన ఆథ్ లైబ్రరీ లేదా హోస్ట్ చేసిన ప్రొవైడర్‌తో అమలు చేయండి. తర్వాత ప్రతి రకం యూజర్ ఏం చేయవచ్చో (రోల్స్) నిర్ణయించండి, మరియు ప్రతి పేజీ మరియు API రిక్వెస్ట్‌కి సర్వర్‌లో దాన్ని అమలు చేయండి. సెషన్‌లు సురక్షిత కుకీలు వాడాలి, గడువు ముగియాలి, మరియు లాగౌట్‌లో సరిగ్గా ముగియాలి.
ఈ గైడ్ ప్రతి ఎంపికను మరియు పని చేసే లాగిన్‌ని సురక్షితమైనదాని నుండి వేరు చేసే వివరాలను వివరిస్తుంది. వెనుక ఉన్న భావనల కోసం, ఆథెంటికేషన్ అంటే ఏమిటి చూడండి.
ముందుగా నిర్ణయించండి: మీకు అసలు లాగిన్ కావాలా?
లాగిన్ ఘర్షణను మరియు బాధ్యతను జోడిస్తుంది. ఇది ఎప్పుడు అవసరం:
- యూజర్లకు ప్రైవేట్ డేటా ఉంటుంది (వారి బుకింగ్‌లు, డాక్యుమెంట్లు, ఇన్‌వాయిస్‌లు)
- యూజర్లు ఇతరులు చూసే వాటిని మార్చగలరు
- మీరు యాక్సెస్ కోసం ఛార్జ్ చేస్తారు
- వేర్వేరు వ్యక్తులకు వేర్వేరు అనుమతులు కావాలి (యజమాని vs సిబ్బంది vs కస్టమర్)
మార్కెటింగ్ సైట్, పబ్లిక్ డైరెక్టరీ, లేదా మీకు ఇమెయిల్ పంపే ఫారమ్‌కి మీకు అవసరం లేదు. వెయిట్‌లిస్ట్‌కి అకౌంట్లు అవసరం లేదు; ఒక ఇమెయిల్ ఫీల్డ్ సరిపోతుంది.
సాధారణ నాలుగు లాగిన్ పద్ధతులు
| పద్ధతి | ఎలా పనిచేస్తుంది | ప్రయోజనాలు | లోపాలు |
|---|---|---|---|
| ఇమెయిల్ + పాస్‌వర్డ్ | యూజర్ పాస్‌వర్డ్ సృష్టిస్తాడు; మీరు దాని హ్యాష్ నిల్వ చేస్తారు | పరిచయమైనది, ఇమెయిల్ లేకుండా కూడా పనిచేస్తుంది | పాస్‌వర్డ్ రీసెట్‌లు, పునర్వినియోగం, బ్రీచ్‌లు; పాస్‌వర్డ్‌లు సురక్షితంగా నిల్వ చేయాలి |
| మ్యాజిక్ లింక్ | యూజర్ ఇమెయిల్ ఎంటర్ చేస్తాడు, మీరు పంపిన లింక్‌పై క్లిక్ చేస్తాడు | నిల్వ చేయడానికి లేదా మర్చిపోవడానికి పాస్‌వర్డ్‌లు లేవు | ఇమెయిల్ డెలివరీపై ఆధారపడుతుంది; లాగిన్ నెమ్మది |
| ఒక్కసారి కోడ్ | యూజర్ ఇమెయిల్ ఎంటర్ చేస్తాడు, 6-అంకెల కోడ్ టైప్ చేస్తాడు | లింక్‌లు తప్పు బ్రౌజర్‌లో తెరిచినప్పుడు కూడా పనిచేస్తుంది | అదే ఇమెయిల్ ఆధారపడటం |
| సోషల్ / OAuth (Google, Apple, GitHub, Microsoft) | మరో ప్రొవైడర్ యూజర్ ఎవరో నిర్ధారిస్తుంది | యూజర్లకు వేగవంతమైనది; మీరు నిల్వ చేయడానికి పాస్‌వర్డ్ లేదు | యూజర్లకు ఆ అకౌంట్ ఉండాలి; ప్రొవైడర్ వద్ద సెటప్ |
చాలా యాప్‌లు రెండు కలుపుతాయి: Google సైన్ ఇన్ మరియు ఇమెయిల్ మ్యాజిక్ లింక్‌లు అనేది ఏ పాస్‌వర్డ్‌లూ నిల్వ చేయకుండా చాలా మందిని కవర్ చేసే ప్రసిద్ధ జత.
ఇమెయిల్ మరియు పాస్‌వర్డ్
మీరు పాస్‌వర్డ్‌లు అందిస్తే, ఇవి తప్పనిసరి:
- పాస్‌వర్డ్‌లను నెమ్మదైన పాస్‌వర్డ్-హ్యాషింగ్ అల్గారిథమ్‌తో హ్యాష్ చేయండి. OWASP యొక్క పాస్‌వర్డ్ నిల్వ మార్గదర్శకం Argon2id ని సిఫార్సు చేస్తుంది, scrypt, bcrypt లేదా PBKDF2 ప్రత్యామ్నాయాలు. పాస్‌వర్డ్‌లను ఎప్పుడూ సాదా టెక్స్ట్‌లో లేదా వేగవంతమైన సాధారణ హ్యాష్‌తో నిల్వ చేయవద్దు.
- పాస్‌వర్డ్ రీసెట్‌లు యాదృచ్ఛిక, ఒక్కసారి మాత్రమే వాడే, గడువు ముగిసే లింక్ వాడతాయి, ధృవీకరించబడిన ఇమెయిల్‌కి పంపబడుతుంది.
- ఏ ఇమెయిల్‌లకు అకౌంట్లు ఉన్నాయో వెల్లడించవద్దు. "ఈ ఇమెయిల్ నమోదై ఉంటే, రీసెట్ లింక్ పంపాము" అనేది "అకౌంట్ కనుగొనబడలేదు" కన్నా మంచిది.
- లాగిన్ మరియు రీసెట్ ప్రయత్నాలపై రేట్ లిమిట్ పెట్టండి, పాస్‌వర్డ్ ఊహించడాన్ని నెమ్మదింపజేయడానికి.
- పొడవైన పాస్‌వర్డ్‌లను మరియు పాస్‌వర్డ్ మేనేజర్‌లను అనుమతించండి; విచిత్రమైన అక్షరాల మిశ్రమాలను బలవంతం చేసే నియమాలు వదిలేయండి.
మ్యాజిక్ లింక్‌లు మరియు ఒక్కసారి కోడ్‌లు
మ్యాజిక్ లింక్ అనేది యూజర్‌కి ఇమెయిల్ చేసిన సైన్-ఇన్ లింక్. దానిపై క్లిక్ చేస్తే వారు లాగిన్ అవుతారు. ఒక్కసారి కోడ్ అదే ఆలోచన, క్లిక్ చేయకుండా టైప్ చేయడం.
- లింక్‌లు మరియు కోడ్‌లు త్వరగా గడువు ముగుస్తాయి మరియు ఒక్కసారి మాత్రమే పనిచేస్తాయి.
- లింక్ యూజర్ క్లిక్ చేసిన పరికరంలో వారిని లాగిన్ చేయాలి, మరియు టోకెన్ లాగ్‌లు లేదా అనలిటిక్స్ టూల్స్‌లో ఉండకూడదు.
- మీకు నమ్మదగిన ఇమెయిల్ పంపడం అవసరం — మీ యాప్ నుండి ఇమెయిల్‌లు ఎలా పంపాలి చూడండి. Gmail మరియు Outlook తో పరీక్షించండి, మరియు స్పామ్ ఫోల్డర్లు తనిఖీ చేయండి.
Google తో సైన్ ఇన్ (మరియు ఇతర OAuth ప్రొవైడర్లు)
"Google తో సైన్ ఇన్" OAuth మరియు OpenID Connect వాడుతుంది: యూజర్ ఎవరో Google నిర్ధారిస్తుంది మరియు వారి ఇమెయిల్ మరియు పేరును మీ యాప్‌కి చెబుతుంది. సెప్టెంబర్ 2026 నాటికి సెటప్ Google Cloud Consoleలోని Google Auth Platform విభాగంలో జరుగుతుంది:
- ప్రాజెక్ట్ సృష్టించండి లేదా ఎంచుకోండి, మరియు Branding పేజీ నింపండి — కన్సెంట్ స్క్రీన్‌లో యూజర్లు ఏం చూస్తారో (యాప్ పేరు, సపోర్ట్ ఇమెయిల్, లోగో).
- Clients పేజీలో, "Web application" రకం క్లయింట్ సృష్టించండి.
- మీ authorized JavaScript origins మరియు redirect URIs జోడించండి — మీ యాప్ నడిచే ఖచ్చితమైన చిరునామాలు మరియు సైన్-ఇన్ తర్వాత Google యూజర్లను తిరిగి పంపే చిరునామాలు.
- క్లయింట్ ID మరియు క్లయింట్ సీక్రెట్‌ను మీ యాప్ సీక్రెట్‌లలో నిల్వ చేయండి.
Google యొక్క OAuth డాక్యుమెంటేషన్ ప్రకారం సాధారణంగా తప్పు జరిగేవి:
redirect_uri_mismatch: redirect చిరునామా ఖచ్చితంగా సరిపోలాలి,httpvshttps, క్యాపిటలైజేషన్ మరియు చివర స్లాష్‌తో సహా. మీ ప్రివ్యూ చిరునామాకు ఒకటి మరియు మీ లైవ్ డొమైన్‌కి ఒకటి జోడించండి.- HTTPS అవసరం: redirect URIలు HTTPS వాడాలి, డెవలప్‌మెంట్‌లో
localhostతప్ప. stateపారామీటర్ని తిరిగి వచ్చినప్పుడు తనిఖీ చేయాలి, cross-site request forgery నుండి రక్షించడానికి. మంచి లైబ్రరీలు దీన్ని మీ కోసం చేస్తాయి.
మీరు ప్రాథమిక సైన్-ఇన్ సమాచారం (పేరు, ఇమెయిల్, ప్రొఫైల్) మాత్రమే అడిగితే, యాప్ ధృవీకరణ తప్పనిసరి కాదని Google చెబుతుంది. యూజర్ల Gmail, Drive లేదా Calendar కి యాక్సెస్ అడగడం వేరు, దానికి ధృవీకరణ అవసరం.
మీరే నిర్మించాలా లేక ప్రొవైడర్ వాడాలా?
| విధానం | ఉదాహరణలు | ఎప్పుడు సరిపోతుంది |
|---|---|---|
| హోస్ట్ చేసిన ఆథ్ ప్రొవైడర్ | మీ కోసం సైన్-ఇన్, యూజర్ నిర్వహణ మరియు సెషన్‌లను హోస్ట్ చేసే సర్వీసులు | తక్కువ భద్రతా బాధ్యతతో త్వరగా లాగిన్ పని చేయాలనుకున్నప్పుడు |
| మీ యాప్‌లో ఆథ్ లైబ్రరీ | మీ ఫ్రేమ్‌వర్క్ కోసం ఓపెన్-సోర్స్ లైబ్రరీలు | యూజర్లు మీ స్వంత డేటాబేస్‌లో ఉండాలని మరియు ప్రతి-యూజర్ ఫీజులు లేకుండా కావాలనుకున్నప్పుడు |
| మీరే రాయండి | — | దాదాపు ఎప్పుడూ కాదు. చాలా సూక్ష్మ వివరాలు ఉంటాయి |
మొదటి రెండూ సహేతుకమైనవే. హోస్ట్ చేసిన ప్రొవైడర్లు మీ కోసం ఎక్కువ నిర్వహిస్తారు కానీ ఒక డిపెండెన్సీని జోడిస్తారు, కొన్నిసార్లు యాక్టివ్ యూజర్‌కి ఖర్చు ఉంటుంది; ప్రస్తుత ధరల కోసం వారి సైట్‌లు తనిఖీ చేయండి. లైబ్రరీలు అన్నీ మీ డేటాబేస్‌లో ఉంచుతాయి కానీ సరిగ్గా కాన్ఫిగర్ చేయాల్సింది మీ మీద ఎక్కువ ఉంటుంది. ఏది ఎంచుకున్నా, పాస్‌వర్డ్ లేదా సెషన్ లాజిక్‌ని చేతితో రాయకుండా AIని దాన్ని వాడమని అడగండి.
రోల్స్ మరియు అనుమతులు
లాగిన్ ఎవరో మీకు చెబుతుంది. అనుమతులు వారు ఏం చేయగలరో నిర్ణయిస్తాయి. మొదట్లో సింపుల్‌గా ఉంచండి:
| రోల్ | సాధారణ అనుమతులు |
|---|---|
| విజిటర్ | పబ్లిక్ పేజీలు చూడటం |
| మెంబర్ / కస్టమర్ | తమ స్వంత రికార్డ్‌లు చూడటం మరియు ఎడిట్ చేయడం |
| స్టాఫ్ | తమ టీమ్ లేదా వ్యాపారంలోని అన్ని రికార్డ్‌లు చూడటం; సెట్టింగ్‌లు లేదా బిల్లింగ్ మార్చలేరు |
| ఓనర్ / అడ్మిన్ | అన్నీ, యూజర్లు మరియు బిల్లింగ్‌తో సహా |
రోల్ పేర్ల కన్నా ముఖ్యమైన నియమాలు:
- సర్వర్‌లో, ప్రతిసారీ తనిఖీ చేయండి. పేజీలో బటన్ దాచడం ఎవరినీ నేరుగా API పిలవకుండా ఆపదు.
- యజమాని ప్రకారం పరిమితం చేయండి. "బుకింగ్ 123" అడిగే మెంబర్‌కి అది వారిది అయితేనే ఇవ్వాలి.
- యూజర్లు తమను తాము ప్రమోట్ చేసుకోలేరు. ప్రొఫైల్ అప్‌డేట్‌లపై బ్రౌజర్ నుండి పంపిన రోల్ ఫీల్డ్‌లను విస్మరించండి.
- డిఫాల్ట్‌గా యాక్సెస్ లేదు. కొత్త రూట్‌లకు మీరు వేరుగా నిర్ణయించకపోతే లాగిన్ అవసరం.
రెండు అకౌంట్లతో పరీక్షించండి: ఒకదానితో లాగిన్ అయ్యి, రికార్డ్ ID గమనించండి, తర్వాత మరొకదానితో లాగిన్ అయ్యి దాన్ని తెరవడానికి ప్రయత్నించండి. మా సెక్యూరిటీ చెక్‌లిస్ట్లో పూర్తి పరీక్ష ఉంది.
సెషన్ భద్రత
లాగిన్ తర్వాత, యాప్ సెషన్ ద్వారా యూజర్‌ని గుర్తుంచుకుంటుంది — సాధారణంగా ఒక కుకీ. OWASP యొక్క సెషన్ నిర్వహణ మార్గదర్శకం సిఫార్సు చేస్తుంది:
- సెషన్ కుకీలు
Secure(HTTPS మాత్రమే),HttpOnly(పేజీ స్క్రిప్ట్‌లు చదవలేనివి) మరియుSameSiteతో సెట్ చేయబడ్డాయి - లాగిన్‌లో కొత్త సెషన్ ID జారీ చేయబడుతుంది, మరియు అధికారాలు మారినప్పుడు మళ్లీ
- సర్వర్‌లో అమలయ్యే ఐడిల్ టైమ్‌అవుట్ మరియు సంపూర్ణ గరిష్ట జీవితకాలం
- లాగౌట్ కుకీని తొలగించడమే కాకుండా సర్వర్‌పై సెషన్‌ని ముగిస్తుంది
- యూజర్ పాస్‌వర్డ్ మార్చినప్పుడు సెషన్‌లు చెల్లవు
ట్యుటోరియల్స్‌లో లాగిన్ టోకెన్‌లను బ్రౌజర్ లోకల్ స్టోరేజ్‌లో నిల్వ చేయడం సాధారణం, కానీ అది పేజీలో రన్ అయ్యే ఏ స్క్రిప్ట్‌కైనా వాటిని బయటపెడుతుంది; వెబ్ యాప్‌లకు సురక్షిత కుకీలు సాధారణంగా మంచి డిఫాల్ట్.
ముఖ్యమైనవన్నీ కవర్ చేసే ప్రాంప్ట్
ఈ యాప్‌కి యూజర్ అకౌంట్లు జోడించు. యూజర్లు ఇమెయిల్ మరియు పాస్‌వర్డ్‌తో లేదా Googleతో సైన్ అప్ చేసి లాగిన్ అవ్వగలరు. కస్టమ్ ఆథ్ కోడ్‌కి బదులుగా [library or provider] వాడు. పాస్‌వర్డ్‌లను Argon2id లేదా bcryptతో హ్యాష్ చేయి. ఇమెయిల్ ద్వారా పాస్‌వర్డ్ రీసెట్ జోడించు, ఒక గంటలో గడువు ముగిసే ఒక్కసారి మాత్రమే వాడే లింక్‌తో. సెషన్‌లను సురక్షిత, HttpOnly కుకీలలో ఉంచు. /dashboard మరియు ప్రతి /api రూట్‌ని రక్షించు, తద్వారా లాగిన్ అయిన యూజర్లు మాత్రమే వాడగలరు, మరియు యూజర్లు తమ ప్రాజెక్ట్‌లు మాత్రమే చూడగలరని నిర్ధారించు. "admin" రోల్ జోడించు, అది అన్ని యూజర్లను చూడగలదు; /adminని అడ్మిన్‌లు మాత్రమే చేరగలరు, సర్వర్‌పై తనిఖీ చేయబడి.
తర్వాత పరీక్షించండి: సైన్ అప్ చేయండి, లాగౌట్ చేయండి, లాగిన్ అవ్వండి, పాస్‌వర్డ్ రీసెట్ చేయండి, లాగౌట్‌లో ప్రైవేట్ URL ప్రయత్నించండి, మరియు మరొక యూజర్ రికార్డ్ ప్రయత్నించండి.
AI-నిర్మిత లాగిన్‌లో సాధారణ తప్పులు
- పేజీలో మాత్రమే రక్షణ. పేజీ లాగౌట్ యూజర్లను రీడైరెక్ట్ చేస్తుంది, కానీ API ఎవరికైనా డేటా తిరిగి ఇస్తుంది.
- బ్రౌజర్‌లో సీక్రెట్‌లు. OAuth క్లయింట్ సీక్రెట్‌లు మరియు ఆథ్ ప్రొవైడర్ అడ్మిన్ కీలు సర్వర్‌లోనే ఉండాలి.
- ప్రివ్యూ మరియు లైవ్ URLలు కలిసిపోవడం. Google యొక్క redirect URI లేదా రీసెట్ ఇమెయిల్ లింక్ ప్రివ్యూని సూచిస్తుంది, కాబట్టి పబ్లిష్ చేసిన తర్వాత లాగిన్ విరిగిపోతుంది.
- ఇమెయిల్ ధృవీకరణ లేకపోవడం. ఎవరైనా anyone@company.com గా సైన్ అప్ చేయవచ్చు. ఆ చిరునామాతో ముడిపడిన ఏదైనా ఇచ్చే ముందు ఇమెయిల్ ధృవీకరించండి.
- సంతోషకరమైన మార్గాన్ని మాత్రమే పరీక్షించడం. తప్పు పాస్‌వర్డ్‌లు, గడువు ముగిసిన లింక్‌లు మరియు రెండవ అకౌంట్ ప్రయత్నించండి.
Mythex లో లాగిన్ జోడించడం
Mythex లో, మీ యాప్ యూజర్ల కోసం లాగిన్ మీ యాప్‌కి మీరు జోడించేది — ఇది మీ స్వంత Mythex అకౌంట్ నుండి వేరుగా ఉంటుంది. Mythex అంతర్నిర్మిత ఆథ్ ప్రొడక్ట్ అందించదు, కాబట్టి మీరు ఒక ఆథ్ లైబ్రరీ లేదా ప్రొవైడర్ మరియు దాని కీలను తీసుకువస్తారు:
- ఒక విధానం ఎంచుకోండి — ఉదాహరణకు మీ స్వంత డేటాబేస్‌లో నిల్వ చేసిన ఇమెయిల్ మరియు పాస్‌వర్డ్, లేదా హోస్ట్ చేసిన ప్రొవైడర్ SDK.
- మీరే యూజర్లను నిల్వ చేస్తే, యాప్‌కి డేటాబేస్ అవసరం; చాట్‌లో అడగండి లేదా
/databaseవాడండి. - ప్రొవైడర్ కీలను ప్రాజెక్ట్ సీక్రెట్‌లలో ఉంచండి (
/secretsలేదా ప్రాజెక్ట్ సెట్టింగ్‌లు). - పైన ఉన్నట్లు ప్రాంప్ట్ వాడండి, తర్వాత Previewలో పరీక్షించండి. Google సైన్ ఇన్ కోసం, మీ ప్రివ్యూ మరియు పబ్లిష్ చేసిన చిరునామా రెండింటికీ redirect URIలు జోడించండి.
డాక్స్‌లో మీ యాప్‌కి లాగిన్ జోడించండి చూడండి. మీరు పెయిడ్ ప్రొడక్ట్ నిర్మిస్తుంటే, SaaS MVP ఎలా నిర్మించాలి అకౌంట్లు మరియు బిల్లింగ్ రెండింటినీ కవర్ చేస్తుంది.
ప్రశ్నలు
యాప్‌కి జోడించడానికి అత్యంత సులభమైన లాగిన్ ఏది?
హోస్ట్ చేసిన ఆథెంటికేషన్ ప్రొవైడర్ లేదా బాగా నిర్వహించబడే ఆథ్ లైబ్రరీ వాడడం సాధారణంగా సులభమైనది మరియు సురక్షితమైనది, ఎందుకంటే సెషన్‌లు, పాస్‌వర్డ్ నిల్వ మరియు రీసెట్‌లు ఇప్పటికే నిర్వహించబడతాయి. Google ఖాతాలున్న యూజర్లకు Google తో సైన్ ఇన్ అతి తక్కువ అడ్డంకి గల ఆప్షన్.
మ్యాజిక్ లింక్‌లు పాస్‌వర్డ్‌ల కన్నా సురక్షితమా?
అవి పాస్‌వర్డ్ పునర్వినియోగం మరియు బలహీన పాస్‌వర్డ్‌లను తొలగిస్తాయి, కానీ ప్రమాదాన్ని యూజర్ ఇమెయిల్ ఖాతాకు మారుస్తాయి. లింక్‌లు త్వరగా గడువు ముగియాలి మరియు ఒక్కసారి మాత్రమే పనిచేయాలి. చాలా చిన్న యాప్‌లకు ఇవి సహేతుకమైన ఎంపిక, తరచుగా Google సైన్ ఇన్‌తో పాటు అందిస్తారు.
Google తో సైన్ ఇన్ జోడించడానికి Google అనుమతి అవసరమా?
మీరు కేవలం ప్రాథమిక సైన్-ఇన్ సమాచారం (పేరు, ఇమెయిల్ మరియు ప్రొఫైల్) మాత్రమే అడిగితే, ధృవీకరణ తప్పనిసరి కాదని Google చెబుతుంది, అయినా మీరు కన్సెంట్ స్క్రీన్ మరియు OAuth క్లయింట్ కాన్ఫిగర్ చేయాలి. Gmail లేదా Drive లాంటి సున్నితమైన డేటాకు యాక్సెస్ అడిగితే Google యాప్ ధృవీకరణ అవసరం.
లాగిన్ మరియు అనుమతుల మధ్య తేడా ఏమిటి?
లాగిన్ (ఆథెంటికేషన్) ఆ యూజర్ ఎవరో నిర్ధారిస్తుంది. అనుమతులు (ఆథరైజేషన్) ఆ యూజర్ ఏం చూడాలో మరియు ఏం చేయాలో నిర్ణయిస్తాయి. యాప్‌కి రెండూ అవసరం, మరియు ప్రతి రిక్వెస్ట్‌కి అనుమతులు సర్వర్‌లో తనిఖీ చేయాలి.