Ruby on Rails，bcrypt和iOS授权

Question

我有基于bcrypt gem的用户授权系统的Ruby on Rails应用程序。还有一个iOS应用程序，我需要为这个应用程序提供授权系统。 我怎样才能以最好的方式做到这一点？ 建议，将开放密码从iOS传递给RoR是不安全的。为所有记录创建一个盐？或者只有ssl是变体？

Answer 1

如果您打算让第三方客户端应用程序访问该API，那么您将需要使用诸如oAuth之类的内容。

如果您将控制所有客户端，那么通过SSL传递用户名/密码进行身份验证是安全的（足够）。

如果您不想在每次请求时通过线路发送U/P，或者希望更容易地撤销客户端访问，那么考虑允许U/P进行一次认证，然后获取认证令牌用于所有后续请求。像Devise :: token_authenticatable。

This post解释了为什么设计（如果您使用RoR我猜你正在使用设计进行身份验证）已弃用token_authenticatable，您可以做什么作为回应。

最终，如果您不使用SSL与服务器通信，那么就没有安全的解决方案，因为您的流量很容易被嗅探，然后您的客户端应用程序被模仿。