Creare un'API per single sign-on con un sito di terze parti

Question

Creare un'API per single sign-on con un sito di terze parti

18 lug 2012, 20:42:14

Visualizzazioni: 19.6K

Voti: 13

Il mio sito deve integrarsi con un software di terze parti, che risiederà su un proprio sottodominio ospitato dalla società produttrice. Devo fornire agli sviluppatori terzi un endpoint che possano utilizzare per effettuare chiamate API (al mio sito WordPress) per consentire agli utenti del mio sito di accedere al sottodominio.

L'altro sito deve autenticare gli utenti del mio sito tramite un'API di qualche tipo.

Non sono sicuro da dove iniziare, ma credo che questo problema sia già stato risolto da persone più esperte di me. Grazie in anticipo!

emersonthis

1.37K

api autenticazione personalizzazione single-sign-on

Commenti

Che tipo di chiamate API saranno necessarie? Cosa stai cercando di fare? Hai già esaminato il supporto XML-RPC di WP (http://codex.wordpress.org/XML-RPC_Support) ?

anu

19 lug 2012 03:17:50

L'altro sito deve verificare/autenticare gli utenti dal mio sito WP.

emersonthis

19 lug 2012 16:31:33

Tutte le risposte alla domanda

Commenti

Abbastanza sicuro che il software di terze parti non abbia nulla a che fare con WP, quindi essenzialmente è un single sign on, ma con WP che funge da provider di autenticazione.

anu

19 lug 2012 17:03:02

@anu: Esatto.

emersonthis

20 lug 2012 17:52:18

@Brian: Sono interessato all'idea di passare a un'installazione multi-site, ma non capisco appieno il punto che hai sollevato riguardo ai cookie. Tutto ciò che deve accadere è che il software di terze parti deve verificare che il suo utente sia effettivamente uno dei miei utenti. Il software è per il resto autonomo e può fornire i propri cookie o quant'altro.

emersonthis

20 lug 2012 17:56:55

@Emerson Ora capisco. Scusa per la confusione. Potresti usare l'idea dell'endpoint che ho creato e utilizzare un token condiviso nei meta dell'utente per l'autenticazione. Restituisci una risposta JSON al servizio di terze parti se l'utente esiste.

Brian Fegter

20 lug 2012 20:18:20

Grazie Brian, ho guardato più da vicino e penso di iniziare a capire la tua soluzione. Potresti mostrarmi un po' di codice per esemplificare come funzionerebbe il tuo plugin per la mia applicazione? Ho guardato il codice sorgente ma non lo afferro al 100%.

emersonthis

21 lug 2012 17:26:00

Mostra i restanti 6 commenti

Brian Fegter 10K · Accepted Answer · 2012-07-18T21:43:07Z

Problemi di Cross-site Scripting

Non è possibile trasferire i cookie di autenticazione di WP tra domini. Inoltre, non è consigliabile memorizzare password in chiaro per accedere programmaticamente a un'altra installazione di WP. Pertanto, sarà necessario far accedere gli utenti a WordPress e poi verificare il loro stato di accesso tramite un endpoint API dal sito di terze parti. Questo permette a WordPress di gestire tutta l'autenticazione. È piuttosto sicuro poiché un utente dovrà effettivamente accedere al lato WP affinché l'endpoint API fornisca i dati al sito di terze parti.

Creare un Endpoint API

Consulta questo articolo che ho appena scritto qui: http://coderrr.com/create-an-api-endpoint-in-wordpress/

Inoltre, puoi vedere la dimostrazione del codice qui: https://gist.github.com/2982319

Dovrai definire la logica in base alle esigenze della tua applicazione, ma questo ti permetterà di creare un endpoint da cui poter servire qualsiasi cosa dal lato WordPress.

Poiché stai utilizzando WordPress come sito di autenticazione, puoi usare un controllo come is_user_logged_in(). Se l'utente è loggato, restituisci un oggetto utente al sito di terze parti con tutte le informazioni necessarie.

Accesso dal Sito di Terze Parti

Dal sito di terze parti, puoi collegarti alla pagina di login per un'esperienza fluida utilizzando la variabile di query redirect_to. Una volta effettuato l'accesso, l'utente verrà reindirizzato al sito di terze parti.

http://sub.yourdomain.com/wp-login.php?redirect_to=http%3A%2F%2Fwww.third-party-domain.com

Accessi Remoti

Se devi far accedere gli utenti a WordPress da un sito di terze parti, puoi utilizzare alcune semplici funzioni di WP elencate su questo sito: http://kuttler.eu/code/log-in-a-wordpress-user-programmatically/

Sarà sicuramente necessario utilizzare un segreto condiviso e creare hash basati sul tempo da quel segreto per mantenere tutto sicuro. Ecco come potrebbe apparire:

Il sito di terze parti invia una richiesta con un timestamp e un token generato da un segreto condiviso:

$shared_secret = 'foobar'; //non inviare questo all'endpoint API
$timestamp = time();
$token = md5($shared_secret.$time_stamp);

L'installazione di WordPress riceve la richiesta:

$shared_secret = 'foobar';
$timestamp = esc_attr($_GET['timestamp']);

if((time() - $timestamp) > 30) # Soglia di 30 secondi
    //fai qualcosa qui - TOKEN scaduto!

$token = md5($share_secret.$timestamp);
$token_to_check = esc_attr($_GET);

if($token == $token_to_check)
    //autenticato!