Gjenbruk av brukernavn og passord

[xibriz]

Jeg lager en løsning som skal bruke andre 3. parts systemer for å hente informasjon (f.eks. AD og Exchange).

 

Problemet er bare at for hver request som sendes så må jeg jo autentisere brukeren mot 3. parts system.

 

Er det noe best practice på dette? Slik jeg ser det må jo brukernavn å passord til brukeren lagres slik at mitt system skal kunne kontakte 3. parts system flere ganger i løpet av sesjonen.

Endret 15. september 2013 av xibriz

[Thorbear]

Her vil jeg si at "best practice" er å enten la brukeren logge inn på 3. parts systemet selv hver gang, eller benytte seg av systemets langtids-autentisering (du kan jo lagre sesjonnøkkel eller liknende).

 

Lagring av brukerens passord mot 3. parts systemer er ikke ideelt i det hele tatt.

[xibriz]

Ja, jeg er enig.

 

Men se på f.eks. ldap_connect()

Ifølge doc så skal man kjøre ldap_connect for å koble opp mot AD, og ldap_bind for å autentisere. So far so good.

 

Så står det "If no arguments are specified then the link identifier of the already opened link will be returned."

 

Men dette fungerer ikke... da blir det jo litt håpløst.

 

 

EDIT: Etter å ha sjekket litt mer så støtter ikke PHP LDAP persistent connection selv om det står i dokumentasjonen.

Endret 16. september 2013 av xibriz

[Crowly]

Trenger du å sjekke brukernavn og passord mot AD flere ganger? Holder det ikke med kun når bruker logger inn?

[xibriz]

Nei, det holder ikke.

 

1. Bruker logger inn (sjekker om bind går mot AD)

2. På ett mye senere tidspunkt skal det gjøres søk mot AD på ett eller annet

 

Problemet er altså at når punkt nr. 2 kommer så må det autentiseres for å kunne gjøre søk i AD.

 

Mange har løst dette med å hardkode brukernavn å passord til en bruker som har rettigheter til å gjøre søk mot AD, men dette har ikke jeg muligheter til.

 

Slik jeg ser det har jeg da 2 alternativer.

 

1. 2-veis kryptere brukernavn å passord og lagre dette i databasen, pluss dekrypteringsnøkkel i sesjon

2. Hente inn all tenkelig info som jeg kan trenge fra AD ved autentisering av brukeren å lagre dette i ett objekt som serialiseres i sesjon

 

Noen andre forslag er hjertelig velkomne.

[Crowly]

Vurdere om PHP er rett verktøy til jobben? Og se om det finnes andre språk som har støtte for LDAP persistent connection?

[xibriz]

Jeg har tenkt litt på dette.

 

Hva om jeg lager en Java-applikasjon der passordene lagres?

 

Da vil de bli vanskelige å få tak i samt at de destrueres med en gang Java-applikasjonen avsluttes.

[Crowly]

Da ville jeg spurt om det samme i java delen av dette forumet, alternativt fått en mod til å flytte denne tråden dit. Da får du trolig bedre svar enn her (selv om det sikkert er noen her som kan både java og php).

[xibriz]

Ok, will do. Dette ser ut som den "beste" løsningen i ren PHP http://stackoverflow.com/questions/14293815/password-encryption-storing-password-in-session