iOS: l'Authentification à l'aide de XMLHttpRequest - Manipulation réponse 401

Quelques choses est devenu évident pour moi que d'essayer de le faire sur iOS. L'une est que iOS a un bug relatif à l'authentification basique, donc si votre mot de passe a certains caractères spéciaux, vous ne serez jamais obtenir une réponse de votre serveur parce que votre serveur ne sera jamais une authentification par défi. C'est, si vous utilisez le nom d'utilisateur et le mot de passe dans le champ "ouvrir" la méthode.

Ma conjecture est qu'ils sont en train de faire quelque chose de stupide, comme en l'envoyant http://username:[email protected]/etc quand ils doivent utiliser des en-têtes http et le codage base64 la creds comme

req.setRequestHeader("Authorization", "Basic " + base64(username) + ':' + base64(password));

L'autre chose que j'ai apprise, c'est que l'Authentification Basique n'est pas très sûr et est sujette à un million et un des problèmes. Dont l'un qui vous ennuie, c'est que le client en cache le nom d'utilisateur et mot de passe, qui sera écrasé par de nouvelles valeurs que vous envoyez par l'intermédiaire de "req.ouvert(...)". Bonne chance qu'à l'aide de javascript seul, vous aurez à faire un peu de magie dans ObjC pour effacer le cache.

Si vous avez le contrôle sur votre serveur, je vous suggère d'aide jeton d'authentification. Se connecter via le protocole SSL et puis de nous envoyer un courrier avec les données JSON contenant le nom d'utilisateur et mot de passe. Le serveur peut alors envoyer des données JSON avec un jeton d'authentification (essentiellement un tas de caractères aléatoires assez longtemps qu'il ne peut pas toujours être deviné, un UUID fonctionne bien. il est généré par le serveur et ne peut être connu que pour le client et le serveur). Ensuite stocker le jeton et le nom d'utilisateur dans le trousseau de sorte que l'utilisateur n'a pas besoin de saisir leurs creds à chaque fois qu'ils commencent à votre application.

Mon serveur sera toujours renvoyer une réponse 200 mais les données JSON contient les informations nécessaires pour réessayer ou de stocker le jeton d'authentification. En général... basic auth fondamentalement suce.

try {
    var req = new XMLHttpRequest();
    req.onload = function(ev) {
        var response = JSON.parse(this.responseText);
        if (response.success === true) {
            //The server will respond with a token that will allow us to login
            storeCredentials(userValue, response.token);
            //redirect with token
        else if (req.status == 401) {
            alert("Invalid Username/Password");
            document.getElementById('password').focus();
        } else {
            alert("Some other status");
        }
    }
    req.ontimeout = setTimeout(function(ev) { navigator.notification.alert('Timeout trying to contact the server'); }, 10000);
    req.onerror = function(ev) { clearTimeout(this.ontimeout); navigator.notification.alert('Error connecting to the server during authentication.'); };

    var uri = myWebOrigin + '/authenticate';
    req.open('POST', uri, true);
    req.setRequestHeader('Cache-Control', 'no-cache');
    req.setRequestHeader('Content-Type', 'application/json');
    json_data = {username : Base64.encode(userValue), password : Base64.encode(passValue)};
    req.send(JSON.stringify(json_data));
} catch(error) {
    navigator.notification.alert('Uh oh, an error occurred trying to login! ' + error);
    return;
}

Il y a probablement un autre code d'état HTTP à côté de la 401 et 200 codes reçus! Assurez-vous il n'y a vraiment pas d'autre code d'état reçues:

if (req.status == 401) {
    alert("Invalid Username/Password");
    document.getElementById('password').focus();
} else if (req.status == 200) {
    window.location.href = some_secure_site;
} else {
    alert('Unfetched status code '+req.status+' captured!');
}

Pour résoudre ce problème, supprimez l'en-tête WWW-Authenticate de réponse du serveur.