Integration der immersiven Authentifizierung

• Nicht definierter Typ

Documentation

Eine Anwendung kann verwenden RestFrontage-Anmeldebildschirme um seine Nutzer zu authentifizieren, MFA anzuwenden und ein Token abzurufen, das mit WebAPI und OData verwendet werden kann. Es muss keine Passwort-, QR-Code- oder TOTP-Eingabebildschirme reproduzieren.

Dieser Leitfaden bietet zwei umfassende Projekte: ein WPF Windows-Anwendung und ein JavaScript-basierte Webanwendung, gehostet von einem kleinen Projekt ASP.NET Core. Keiner von beiden bezieht sich auf GraphicStream.Immersive.Server.Interop oder irgendeine andere immersive DLL. Das zukünftige unabhängige Authentifizierungspaket ist nicht erforderlich, um sie zu verwenden.

Die Illustrationen sind Screenshots der Beispiele und des RestFrontage-Logins in einer isolierten Testumgebung. Die gezeigten Konten sind Demokonten. Die Ports und IDs der Aufnahmen stammen vom Teststand; verwenden Sie die Werte aus Ihrer eigenen Konfiguration.

1. Verständnis des Prinzips

1.1 Eine gemeinsame Verbindungsschnittstelle

Der Nutzer klickt Einloggen in Ihrer Anwendung. Der Browser zeigt den immersivem Login an. Er gibt seinen Benutzernamen und sein Passwort ein, dann seinen MFA-Code, wenn es die Serverrichtlinie verlangt. Wenn die Verifizierung konfiguriert werden muss, präsentiert der Server ihm den QR-Code und bittet ihn, den ersten Code zu bestätigen.

Die Anwendung erhält dann automatisch ein Token. Dieses Token ermöglicht es, die APIs aufzurufen mit den Rechten des eingeloggten Benutzers. Eine erfolgreiche Verbindung gewährt ihnen keine zusätzlichen Rechte.

MFA folgt der bereits in Immersive festgelegten Einstellung: deaktiviert, mit Ausnahmen erforderlich oder für alle betroffenen Nutzer erforderlich. Die Client-Anwendung entscheidet sich nicht, diese Richtlinie zu umgehen.

1.2 Zwei Codes, die unterschiedliche Aufgaben erfüllen

Die TOTP-Code ist der sechsstellige Code, der von der App des Telefons angezeigt wird. Er wird verwendet, um die Identität nach dem Passwort zu bestätigen. Er ändert sich in der Regel alle 30 Sekunden und wird ohne Internet berechnet.

Die Rückgabecode ist ein technischer Code, der vom Server nach der Anmeldung generiert wird. Er wird automatisch an die Anwendung übertragen, die ihn gegen das Token austauscht. Der Benutzer muss ihn niemals kopieren, behalten oder an einen Administrator weiterleiten. Dieser Code verfällt danach 60 Sekunden und funktioniert nur einmal.

1.3 Die gesamte Reise

sequenceDiagram
    participant A as Votre application
    participant N as Navigateur
    participant R as RestFrontage
    A->>A: Préparer state et une preuve PKCE
    A->>N: Ouvrir Browser/Authorize
    N->>R: Demander la connexion pour l'application déclarée
    R-->>N: Afficher le login Immersive
    N->>R: Saisir identifiant et mot de passe
    opt MFA requise
        R-->>N: QR code si inscription nécessaire, puis saisie TOTP
        N->>R: Confirmer un code à six chiffres
    end
    R-->>N: Rediriger vers le callback avec un code temporaire
    N-->>A: Transmettre code, state et iss
    A->>A: Vérifier le retour attendu
    A->>R: Browser/Token avec le code et la preuve PKCE
    R-->>A: Token Immersive et durée restante
    A->>R: WebAPI ou OData avec Authorization: Bearer
    R-->>A: Réponse autorisée selon les droits du compte

Schutz PKCE S256 verbindet den Codeaustausch mit der Anwendung, die die Verbindung gestartet hat. Die Anwendung pflegt einen privaten Zufallswert, den code_verifier, und übertrug zunächst nur seinen Fingerabdruck, die code_challenge. Das Abfangen des Rückgabecodes allein reicht daher nicht aus, um das Token zu erhalten. Dieser Mechanismus wird beschrieben durch RFC 7636.

state Verknüpft die Rückgabe mit der aktuellen Verbindungsanfrage. iss Identifiziert den Server, der antwortet. Die bereitgestellten Clients überprüfen diese Werte und die Rücksendungsadresse vor dem Austausch.

2. Bereiten Sie die beiden Beispiele vor.

2.1 Inhalt der bereitgestellten Datei

Offen Samples/Immersive.Authentication.Samples.slnx in Visual Studio. Die Lösung enthält genau zwei unabhängige Projekte.

Das Dossier Executables/WPF, im Lieferarchiv, enthält die veröffentlichte ausführbare Datei und deren Konfiguration. Diese Freigabe erfordert die .NET Desktop Laufzeit 10 x64 und für den integrierten Modus gilt die Microsoft Edge WebView runtime2. Bewahren Sie alle veröffentlichten Dateien zusammen, einschließlich des WebView2-Uploaders.

Um die Quellen zu kompilieren, verwenden Sie das .NET 10 SDK und in Visual Studio die Entwicklungskomponenten Desktop .NET und ASP.NET/Web. Beide Projekte können vom Server-Repository getrennt werden: Du kannst den Samples-Ordner auf einen anderen Computer kopieren.

2.2 Apps in RestFrontage deklarieren

Füge diesen Abschnitt zur RestFrontage-Instanzkonfiguration hinzu und ersetze die Adressen entsprechend deiner Umgebung. Die appsettings.example.json enthält dasselbe Beispiel. Es überschreibt nicht deine bestehende Konfiguration.

{
  "BrowserAuthentication": {
    "Issuer": "https://localhost:44333",
    "Clients": [
      {
        "ClientId": "immersive-desktop",
        "DisplayName": "Exemple Immersive WPF",
        "RedirectUris": [ "http://127.0.0.1/callback/" ],
        "AllowLoopbackRedirect": true
      },
      {
        "ClientId": "immersive-web",
        "DisplayName": "Exemple Immersive Web",
        "RedirectUris": [ "https://localhost:5173/auth/callback" ]
      }
    ]
  }
}

Emittent ist der HTTPS-Ursprung von RestFrontage, wie der Browser darauf zugrifft: Schema, Host und optional Port, ohne Pfad oder letzte Leiste. Diese Reise wartet auf einen Server, der an der Wurzel dieses Ursprungs montiert ist. Wenn ein Reverse-Proxy verwendet wird, muss der Server das korrekte externe Schema empfangen und über seine vertrauenswürdige Konfiguration hosten.

ClientId identifiziert die Anwendung und ist kein Geheimnis. DisplayName ist sein Name, der im Login angezeigt wird. Deklarieren Sie nur Anwendungen, die berechtigt sind, die Rechte ihrer Nutzer zu nutzen. Für diese Beispiele sollten keine gemeinsamen Geheimnisse in eine Binär- oder JavaScript-Datei eingebettet werden.

RedirectUris Listet die genauen Rücksendadressen auf. Es werden keine Wildcards, Anfrageparameter oder Fragmente akzeptiert. Jede Webadresse verwendet HTTPS. AllowLoopback-Umleitung Erlaubt nur dem nativen Client, einen freien Port auf der deklarierten lokalen Schleifenadresse auszuwählen. Der literale Host und der Pfad bleiben kontrolliert. Im WPF-Beispiel wird die Rückgabe zum Beispiel http://127.0.0.1:54321/callback/.

Um eine App zu pausieren, fügen Sie hinzu "Enabled": false zu seiner Deklaration. Ein abwesender oder deaktivierter Eintrag kann diesen Pfad nicht nutzen.

2.3 Überprüfen Sie HTTPS und Netzwerkzugang

RestFrontage muss per Erweiterung erreichbar sein und über ein anerkanntes Zertifikat verfügen. Das Webprojekt verwendet außerdem HTTPS. Für lokale Tests ASP.NET Core installieren Sie gegebenenfalls das vertrauenswürdige Entwicklungszertifikat mit:

dotnet dev-certs https --trust

Die bereitgestellten Anwendungen deaktivieren die Zertifikatsvalidierung nicht. Für ein internes Netzwerk verwenden Sie ein Zertifikat, das von den jeweiligen Geräten erkannt wird.

Für das Webprojekt muss RestFrontage beispielsweise Aufrufe vom Ursprung der Anwendung erlauben https://localhost:5173, in seiner CORS-Richtlinie. Insbesondere muss die WebAPI-Anfrage in der Lage sein, das Authorization. Die CORS-Autorisierung überschreibt nicht die Rückruf-Deklaration. WPF-Aufrufe hängen nicht von CORS ab.

Die Verbindung funktioniert ohne Internet, wenn die Erweiterung RestFrontage und jede Webanwendung im internen Netzwerk erreicht. Die Ressourcen in den Beispielen sind lokal. Das Telefon berechnet seinen TOTP-Code offline; seine Datums- und Uhrzeiteinstellungen müssen korrekt bleiben.

3. Verwenden Sie die WPF-Probe

3.1 Start und Verbindung

Im Projekt Immersive.Authentication.Wpf, die appsettings.json Setzt die Anfangswerte:

{
  "Server": "https://localhost:44333",
  "ClientId": "immersive-desktop",
  "BrowserMode": "External",
  "ApiPath": "/api/Security/Mfa/Context"
}

Aus dem Samples-Ordner führen Sie aus:

dotnet run --project Immersive.Authentication.Wpf

Du kannst auch laufen Immersive.Authentication.Wpf.exe aus dem veröffentlichten Ordner oder setze dieses Projekt als Start-up-Projekt in Visual Studio.

1. Überprüfen Sie die RestFrontage-Adresse und die Anwendungs-ID.
2. Wähle Externer Browser oder Integrierter Browser (WebView2), dann klicken Sie Einloggen.
3. Vollständige Passworteingabe und, falls aufgefordert, MFA-Verifizierung.
4. Im externen Modus kehren Sie zum WPF zurück. Im integrierten Modus schließt sich das Anmeldefenster automatisch.
5. Klick Ruf GET an. Die vorgeschlagene Route gibt den Namen des verbundenen Kontos zurück.

Nach einer erfolgreichen Verbindung zeigt das WPF das Fälligkeitsdatum des Tokens an. Der vorgeschlagene Aufruf wird zurückgegeben HTTP 200 und den Namen des verbundenen Kontos.

In Extern, verwendet die Rückgabe ein temporäres Netzwerk-Hören, begrenzt auf 127.0.0.1, auf einem automatisch gewählten Port. Dieses Abhören beginnt, bevor der Browser geöffnet wird, und endet am Ende der Reise. Die maximale Verbindungszeit beträgt zehn Minuten. Die Stornieren Pausiert das Warten in der App. Der Browser-Tab wird nicht geschlossen.

3.2 Wählen Sie den Browser

Beide Optionen verwenden denselben Server, dieselbe ClientId und dieselben Rückgabe- und PKCE-Prüfungen. MFA wird weiterhin von Immersive durchgesetzt. Du musst keine zusätzliche Anwendung deklarieren, um zwischen ihnen zu wechseln.

Anpassung BrowserMode in appsettings.json wählt den Anfangswert: Extern oder Eingebettet. Die Liste erlaubt es, die Modi für die nächste Verbindung zu wechseln; sie schreibt die Konfigurationsdatei nicht um.

Das eingebaute Fenster zeigt den Serverursprung über dem Login an. Es behält die üblichen Schritte bei, einschließlich der Eingabe des sechsstelligen Codes und der Registrierung mit einem QR-Code, wenn der Server ihn anfordert. Stornieren, unterbricht der Close Cross, oder Timeout, die Verbindung und bringt die WPF an die WPF zurück.

Das WebView2-Profil ist privat und vom üblichen Browserprofil getrennt. Passwortspeichern und Autofill sind deaktiviert. Das Surfen außerhalb des konfigurierten Servers, neue Fenster, Downloads und Zugriff auf native Objekte werden blockiert. Keine Skripte zum Auslesen von Anmeldedaten werden vom Beispiel injiziert. Zertifikatsfehler werden nicht ignoriert.

Der externe Browser bleibt die Standardwahl zur Isolierung der Authentifizierungsseite der Anwendung. Die eingebaute Variante eignet sich für eine masterte Anwendung: Ihr Host kann technisch auf die Webinhalte zugreifen. PKCE schützt den Codeaustausch, nimmt diese Möglichkeit jedoch nicht dem Programm, das WebView2 hostet. Die Prinzipien zum Schutz der Komponente sind in der Microsoft WebView-Dokumentation2.

3.3 Bereite Stationen für WebView2 vor.

Das WPF-Referenzprojekt Microsoft.Web.WebView2. Dieses Paket stellt die Steuerung und das Ladegerät bereit; das Microsoft Edge WebView runtime2 Muss für den integrierten Modus auf dem Computer vorhanden sein. Sein Vorhandensein ist getrennt von dem des Edge-Browsers. Wenn die Laufzeit fehlt, zeigt das Beispiel eine Nachricht an und ermöglicht die Auswahl des externen Browsers.

Für eine Stelle ohne Internet planen Sie dieEvergreen Standalone-Installateur Die passende Architektur in Ihrem Bereitstellungsprozess. Der kleine Web-Bootstrapper erfordert einen Download und ist für eine komplett offline installierte Installation nicht geeignet. Die Verbindung kann auch im internen Netzwerk funktionieren, sobald die Laufzeit installiert ist. Ansicht WebView2 verteilen.

Die technische Datei der Komponente wird unter %LOCALAPPDATA%/Immersive.Authentication.Sample/WebView2, an einem benutzerzugänglichen Ort. Das Anmeldeprofil wird im privaten Modus geöffnet. Die App speichert das Immersive Token in beiden Modi im Speicher.

3.4 Code in deiner App wiederverwenden

Die BrowserAuthenticationClient.cs enthält den eigenständigen Client. Es verwendet die Standard-.NET-Bibliotheken, um die Anfrage vorzubereiten, den Browser zu öffnen, die Rückgabe zu steuern und den Code auszutauschen. Es ist nicht abhängig vom Immersive SDK.

using Immersive.Authentication.Wpf;

using var http = new HttpClient(new HttpClientHandler
{
    AllowAutoRedirect = false,
    UseCookies = false
});

var authentication = new BrowserAuthenticationClient(
    "https://localhost:44333", http);

var session = await authentication.SignInAsync(
    "immersive-desktop", cancellationToken);

// session.Token : token Immersive à garder en mémoire.
// session.ExpiresAt : échéance du token.

MainWindow.xaml.cs zeigt die Schaltfläche "Verbinden", "Beenden", den Sitzungszustand und den API-Aufruf. Du kannst den Namensraum der eigenständigen Datei ändern, wenn du sie in dein Projekt integrierst.

Für den eingebauten Modus sind die Dateien EmbeddedLoginWindow.xaml und EmbeddedLoginWindow.xaml.cs ergänzen den eigenständigen Client. Der Aufruf erfolgt aus dem WPF-UI-Thread, wobei das Hauptfenster als Besitzer fungiert:

var session = await EmbeddedLoginWindow.SignInAsync(
    this, authentication, "immersive-desktop", cancellationToken);

Das Ergebnis hat dieselben Eigenschaften Token und ExpiresAt. Callback-Steuerungen und HTTP-Austausch bleiben in BrowserAuthenticationClient.cs ; Das Fenster kümmert sich nur darum, die letzte Navigation anzuzeigen und abzufangen.

Die externe Browser-Methode kann eine Funktion erhalten openBrowser Wenn Ihre App bereits eine Browser-Offen-Abstraktion hat. Methoden CreateBrowserLoginRequest und CompleteBrowserLoginAsync Sie ermöglichen es, den Start und die Rückkehr getrennt zu verwalten, falls Sie bereits einen kompatiblen Rückrufmechanismus haben.

Der Systembrowser speichert die Eingabe der Zugangsdaten auf der Serverseite. Diese Wahl folgt dem Prinzip, das für native Anwendungen von der RFC 8252. Ein iframe ist kein Integrationsmodus dieses Logins.

4. Verwenden Sie das Web-Beispiel

4.1 Start der Seite

Die appsettings.json Des Projekts Immersive.Authentication.Web Enthält:

{
  "Authentication": {
    "Server": "https://localhost:44333",
    "ClientId": "immersive-web",
    "ApiPath": "/api/Security/Mfa/Context"
  }
}

Aus Beispielen:

dotnet run --project Immersive.Authentication.Web

Offen https://localhost:5173. In Visual Studio öffnet das Startprofil diese Adresse automatisch. Die Rückroute ist https://localhost:5173/auth/callback ; es muss genau so in RestFrontage erklärt werden.

1. Klick Einloggen : Der Tab wird zu RestFrontage weitergeleitet.
2. Gib deine Zugangsdaten ein und dann gegebenenfalls den MFA-Code.
3. Der Server leitet den Tab nach /auth/callback In deiner App.
4. Das JavaScript überprüft die Rückgabe und tauscht den Code gegen das Token aus.
5. Klick Ruf GET an um den Kontext des Berichts zu lesen.

Dasselbe Web-Beispiel passt sein Layout an kleine Bildschirme an. Der Anmeldepfad und die Nutzung des Tokens bleiben gleich.

4.2 Verwenden Sie das JavaScript-Modul erneut

Die Akten wwwroot/ImmersiveAuthentication.js und wwwroot/app.js den Verbindungsclient bzw. seine Integration in die Seite anzeigen. Der kleine ASP.NET Core-Server bedient diese Ressourcen und die öffentliche Konfiguration. Er erhält das Token nicht: Der Browser ruft RestFrontage direkt auf.

import { ImmersiveAuthentication } from "/ImmersiveAuthentication.js";

const authentication = new ImmersiveAuthentication({
    Server: "https://localhost:44333",
    ClientId: "immersive-web",
    RedirectUri: location.origin + "/auth/callback"
});

// Dans l'action « Se connecter » :
await authentication.SignIn();

Auf der Rückgabeseite erstellen Sie den Kunden mit denselben Optionen neu und rufen Sie dann auf:

const session = await authentication.CompleteSignIn();
// session.Token : token Immersive.
// session.ExpiresIn : durée restante, en secondes.

Das Modul speichert nur die vorläufige PKCE-Transaktion in sessionStorage während des Seitenwechsels. Diese Transaktion wird nach der Validierung gelöscht und der Code aus der Adresse des Browsers entfernt. Das Token wird nicht an localStorage, sessionStorage oder ein Cookie geschrieben.

Die Rückgabe muss im selben Tab und am selben Ursprung wie die Anwendung erfolgen, die die Anfrage gestartet hat. Die Route /auth/callback muss direkt auf deinem Hosting zugänglich sein, selbst bevor JavaScript geladen wird. Im Beispiel gibt der Server zurück index.html für diese Straße.

Für Ihre Unterkunft, behalten Sie Referrer-Policy: no-referrer Auf der Rückgabeseite sollten Drittanbieter-Ressourcen auf dieser Seite vermieden und die URL-Parameter nicht protokolliert werden. Eine Proxy- oder Hosting-Konfiguration sollte diese Eigenschaften erhalten.

5. Ruf WebAPIs und OData auf

5.1 Der gleiche Token unabhängig vom Kunden

Sobald die Verbindung abgeschlossen ist, verwenden beide Anwendungen denselben Typ von Immersive Token. Sie fügen den Header hinzu Autorisierung: Träger auf ihre Anfragen. Hier ist die gleiche Operation in C#, JavaScript und HTTP; server bezieht sich auf den Ursprung von RestFrontage und token das Token erlangt.

using System.Net.Http.Headers;

using var request = new HttpRequestMessage(
    HttpMethod.Get, server + "/api/Security/Mfa/Context");
request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", token);
using var response = await http.SendAsync(request, cancellationToken);
string content = await response.Content.ReadAsStringAsync(cancellationToken);
response.EnsureSuccessStatusCode();

const response = await fetch(server + "/api/Security/Mfa/Context", {
    headers: { Authorization: `Bearer ${token}`, Accept: "application/json" },
    credentials: "omit",
    cache: "no-store",
    redirect: "error"
});
if (!response.ok) throw new Error(`HTTP ${response.status}`);
const context = await response.json();

GET {{server}}/api/Security/Mfa/Context
Authorization: Bearer {{token}}
Accept: application/json

Eine erfolgreiche Antwort enthält AccountName. Für OData ändern Sie den Pfad zu einer OData-Route Ihrer Instanz: Der Header bleibt derselbe. Die Beispiele stellen nur GET-Anfragen. Sie verhindern, dass das Token über das Pfadfeld an einen anderen Server gesendet wird, und lehnen HTTP-Weiterleitungen bei authentifizierten Aufrufen ab.

A 401 bedeutet, dass die Anfrage nicht authentifiziert ist oder das Token nicht mehr akzeptiert wird; Wiederhole die Verbindung. A 403 Bedeutet eine Ablehnung des Zugangs: Überprüfen Sie die Rechte und Regeln der entsprechenden API. Das Weitergeben von MFA gewährt nicht Zugriff auf alle Ressourcen.

5.2 Ablauf und Ende der Sitzung

Der Token behält seine übliche Gültigkeitszeit in Immersive. Die Austauschantwort zeigt seine Verbleibende Zeit. Die Samples hören auf, es zu verwenden, wenn es abläuft; dann ist eine neue Verbindung erforderlich. Diese Reise stellt kein Refresh-Token bereit.

Lösche meine Sitzung entfernt das Token aus dem Speicher des Samples. Dieser Button widerruft das bereits an den Server ausgegebene Token nicht und trennt auch nicht alle anderen Anwendungen. Das Schließen der WPF-ausführbaren Datei oder das Neuladen des Web-Tabs löscht ebenfalls deren Verbindungsstatus.

Projekte zeigen eine Sitzung freiwillig im Speicher an. Eine Anwendung, die eine Sitzung länger halten möchte, muss explizit ihre Speicher- und Abmelderichtlinie definieren. Für eine Seite mit Backend ist es möglich, das Token ausschließlich auf der Serverseite zu behalten.

6. Verständnis des HTTP-Vertrags

6.1 Startverbindung

Die Anwendung erstellt Zufallswerte state und code_verifier. Die bereitgestellten Clients verwenden 32 zufällige Bytes, die in Base64URL codiert sind, ohne Auffüllung. Die Herausforderung ist BASE64URL(SHA256(ASCII(code_verifier))).

Dann öffnet es diese Adresse im Browser und kodiert die Parameterwerte:

GET {{server}}/api/Security/Browser/Authorize?response_type=code&client_id={{clientId}}&redirect_uri={{redirectUriEncoded}}&state={{state}}&code_challenge={{challenge}}&code_challenge_method=S256

Starte die Integration nicht direkt, indem du sie öffnest /Login : Der Eingang Browser/Authorize enthält die Informationen des Antrags und der erwarteten Rückgabe. Die Verbindungsanfrage ist zehn Minuten gültig.

Nach Erfolg leitet der Server auf das mit erklärte Rückruf um Code, Zustand und ISS. Nach dem Kündigen des Logins kehrt er zurück error=access_denied, Zustand und ISS. Eine ungültige Anfangsanfrage bleibt bei einem lokalen Fehler bestehen: Sie leitet nicht auf eine unautorisierte Adresse um.

6.2 Einlösungscode

Nach der Kontrolle des Rückrufs, state und iss, übergibt die Anwendung ein HTTP-Formular. Die Werte werden wie ein Formular codiert, ohne Konvertierung in JSON.

POST {{server}}/api/Security/Browser/Token
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&client_id={{clientId}}&redirect_uri={{redirectUriEncoded}}&code={{code}}&code_verifier={{verifier}}

using var content = new FormUrlEncodedContent(new Dictionary<string, string>
{
    ["grant_type"] = "authorization_code",
    ["client_id"] = clientId,
    ["redirect_uri"] = redirectUri,
    ["code"] = code,
    ["code_verifier"] = verifier
});
using var response = await http.PostAsync(server + "/api/Security/Browser/Token", content);
response.EnsureSuccessStatusCode();

const response = await fetch(server + "/api/Security/Browser/Token", {
    method: "POST",
    credentials: "omit",
    cache: "no-store",
    redirect: "error",
    body: new URLSearchParams({
        grant_type: "authorization_code",
        client_id: clientId,
        redirect_uri: redirectUri,
        code,
        code_verifier: verifier
    })
});
if (!response.ok) throw new Error("Échange refusé : recommencez la connexion.");

Die Antwort enthält:

{
  "access_token": "JWT Immersive",
  "token_type": "Bearer",
  "expires_in": 3600
}

Die Dauer ist anschaulich. Diese drei Namen folgen dem OAuth-Vertrag, in Kleinbuchstaben. Der WPF-Client stellt frei Token und ExpiresAt, und das JavaScript-Modul wurde angezeigt Token und ExpiresIn. Die anderen Immersive WebAPIs behalten ihre PascalCase-Konvention bei.

Straßen Browser/VerifyCredentials, Browser/VerifyTotp und Browser/Abbrechen sind Teil der inneren Abläufe der gehosteten Schnittstelle. Ihre Integrationsnutzungen Autorisieren und Token ; Sie muss die Anmeldeschritte nicht steuern.

7. Weitere Integrationsmöglichkeiten

WPF und JavaScript sind nicht die einzigen Optionen. Der Vertrag ist HTTP: Beide Projekte zeigen zwei Möglichkeiten, ihn zu nutzen, keine technologische Beschränkung.

7.1 Webvariante mit Backend

In dieser Variante behält das Backend state und den PKCE-Beweis in der Benutzersitzung vor der Weiterleitung. Er steuert den Rückruf und tauscht dann den Code auf Serverseite aus. Anschließend behält er das Immersive Token und führt die API-Aufrufe für den Browser durch.

sequenceDiagram
    participant N as Navigateur
    participant B as Backend de votre site
    participant R as RestFrontage
    N->>B: Se connecter
    B->>B: Stocker state et PKCE dans la session
    B-->>N: Redirection vers le login hébergé
    N->>R: Mot de passe et MFA éventuelle
    R-->>N: Redirection vers le callback du site
    N->>B: Callback avec code et state
    B->>B: Vérifier session, state et iss
    B->>R: Échanger code et PKCE
    R-->>B: Token Immersive
    B-->>N: Session du site, cookie sécurisé HttpOnly
    N->>B: Demander une ressource
    B->>R: Appeler l'API avec le token
    R-->>B: Résultat autorisé
    B-->>N: Résultat pour l'interface

Insbesondere muss das Session-Cookie sicher, HttpOnly und für Browsing-Feedback geeignet sein. Schützen Sie die Aktionen der Seite gegen seitenübergreifende Anfragen. Das Token bleibt im Backend; es darf nicht über eine Dienstleistungsroute an den Browser zurückgesendet werden. PKCE und state bleiben in dieser Variante notwendig.

8. Umfang und Diagnose

8.1 Was dieser Kurs abdeckt

Die veranstaltete Tour umfasst Benutzername/Passwort und TOTP, mit den Ausnahmen, der Erstregistrierung und der autorisierten Neuregistrierung, die in Immersive vorgesehen sind. Bestehende SSO-Anbieter sind noch nicht mit diesem Eintrag verbunden; deren eigener Betrieb bleibt eigenständig.

Der Server verwendet die Autorisierungscode mit PKCE, aber ist nicht als vollständiger OpenID Connect-Anbieter dargestellt. Dieser Batch bietet keine OIDC-Entdeckung, kein ID-Token, keine Zustimmung durch Scopes, kein Aktualisierungstoken oder Geräteautorisierungsfluss. Eine Komponente, die diese Funktionen benötigt, kann ohne Anpassung nicht angeschlossen werden.

Für mehrere RestFrontage-Instanzen muss der Bediener einen gemeinsamen persistenten Datenschutz-Schlüsselbund, dieselbe Datenschutz-Anwendungsidentität und dieselbe Sicherheitsdatenbank pflegen. JWT-Schlüssel und MFA-Einstellungen müssen ebenfalls konsistent sein. Ein Verlust temporärer Schutzmaßnahmen erfordert, dass aktuelle Verbindungen neu gestartet werden.

8.2 Häufige Fehler beheben

Protokollieren Sie keine Tokens, PKCE-Beweise, Passwörter, TOTP-Geheimnisse oder Rückrufeinstellungen. Dies gilt auch für IIS-, Reverse-Proxy- und Client-Anwendungsprotokolle. Allgemeine Best Practices sind im Folgenden detailliert beschrieben RFC 9700.

8.3 Verifizieren Sie Ihre Integration

Teste ein Konto, das MFA unterliegt, ein Konto, das erstmals eingerichtet werden muss, und, falls deine Richtlinie es erlaubt, ein befreites Konto. Überprüfe außerdem auf Stornierung, TOTP-Fehler und verweigerten API-Zugriff wegen fehlender Rechte.

Das erwartete Ergebnis ist immer dasselbe: Deine Anwendung ruft ein Token erst nach den vom Server geforderten Verbindungsschritten ab. Sie können dann die APIs innerhalb der Rechte des Kontos nutzen.