Единый вход Prestashop OAuth с использованием протокола PKCE | Вход в Prestashop PingIdentity OAuth SSO

Prestashop — это система для создания интернет-магазинов, которая позволяет пользователям разрабатывать собственные платформы электронной коммерции для создания и продажи своих товаров. Она включает в себя несколько встроенных функций, называемых модулями, в том числе удобную систему оформления заказа и оплаты, интегрированную с PayPal™, Facebook и другими социальными сетями для формирования сообщества вокруг вашего магазина, а также административную панель для упрощения ежедневного управления магазином.

PingIdentity — это глобальный поставщик решений для управления идентификацией и доступом, позволяющий различным программным обеспечениям обрабатывать и управлять аутентификацией и авторизацией пользователей. Он использует популярные протоколы аутентификации и авторизации, такие как SAML 2.0 и OAuth 2.0, которые обеспечивают безопасный единый вход (SSO) между двумя совместимыми организациями. PingIdentity также может использоваться для создания различных платформ управления идентификацией для различных корпоративных групп, таких как управление персоналом, управление здоровьем сотрудников и т. д. Обеспечивая SSO с использованием одного из своих протоколов SSO, он позволяет осуществлять кросс-доступ между собой и приложениями, построенными на его основе, а также другими сторонними приложениями/веб-сайтами.

Сценарий

У вас есть портал для сотрудников, построенный на платформе PingIdentity, и магазин Prestashop, к которому сотрудники могут получить доступ после успешной авторизации через портал управления персоналом. Для упрощения процесса авторизации вы хотите, чтобы сотрудники использовали единый вход (SSO) в Prestashop с помощью протокола OAuth. Однако по умолчанию поток предоставления кода авторизации позволяет пользователям... секрет покупателя Чтобы секретный ключ клиента был видимым образом отправлен в URL-адресе запроса, для обеспечения большей безопасности рекомендуется использовать единый вход (SSO) с помощью потока PKCE (Proof Key for Code Exchange), который предотвращает отправку секретного ключа клиента в URL-адресе запроса.

Требования

PingIdentity используется для создания портала для сотрудников, где хранятся все учетные данные и сведения о сотрудниках; именно здесь всем пользователям будет предоставлен авторизованный доступ.

Prestashop настроен как поставщик услуг, и доступ к магазину будет только у авторизованных пользователей.

Задействованные компоненты

• OAuth-клиент: PingIdentity — это платформа, на которой построен весь портал для сотрудников, и все идентификаторы пользователей берутся отсюда.
• OAuth-серверВ папке Prestashop, где авторизованные пользователи будут получать доступ к сервису, будет установлен плагин Prestashop as OAuth Client.

Чтобы получить плагин, свяжитесь с нами. ВОТ

Схема потока

Решение

1. Поток грантов PKCE

• PKCE расшифровывается как Proof Key for Code Exchange (ключ подтверждения для обмена кодом). Это механизм предоставления доступа, основанный на предоставлении кода авторизации, который лучше всего использовать для включения единого входа OAuth в публичных клиентах.
• Принцип работы PKCE заключается в том, что клиент/приложение в начале процесса генерирует случайное значение, называемое верификатором кода, а затем хеширует его для создания так называемого задания на проверку кода.
• Этот код аутентификации, используемый вместо фиксированного секретного ключа клиента в традиционном процессе OAuth, затем включается в строку запроса к серверу авторизации, где хешированное значение сохраняется для последующей проверки, и после аутентификации пользователя происходит перенаправление обратно в приложение с кодом авторизации.
• Приложение отправляет запрос на обмен кода на токены, но вместо фиксированного секретного ключа оно отправляет Code Verifier. Теперь сервер авторизации может хешировать Code Verifier и сравнить его с хешированным значением, которое он сохранил ранее.
• Если хешированное значение совпадает, сервер авторизации вернет токены.

2. Использование PKCE для SSO

• Исходя из описанного выше процесса PKCE, когда сотрудник пытается получить доступ к магазину Prestashop, пользователь будет перенаправлен на страницу Prestashop в качестве клиента OAuth, который сгенерирует запрос. задание по программированию используя криптографически сгенерированный случайный символ верификатор кода.
• Затем плагин перенаправит пользователя через запрос кода авторизации На портал для сотрудников будет отправлено сообщение с кодом, предлагающее пользователю войти в систему. Портал для сотрудников сохранить код для решения задачи Здесь для последующей проверки.
• В традиционном процессе предоставления кода авторизации OAuth запрос кода авторизации (или URL-адрес запроса) будет содержать секретный ключ клиента, но в процессе PKCE это Секретный ключ клиента будет заменен на код проверки. Таким образом, транзакция становится гораздо более безопасной.
• После успешной аутентификации пользователя на портале для сотрудников происходит перенаправление обратно на плагин вместе с кодом авторизации. Код авторизации Действителен только для одной транзакции.
• Затем плагин отправит ранее сгенерированный код проверки кода и код авторизации на портал сотрудника, где будут проверены ранее сохраненные код подтверждения и код проверки.
• После проверки, если значения верификатора кода и запроса на проверку кода совпадают, портал для сотрудников отправит... идентификационный токен и необходимый маркер доступа вернуться к плагину, который может запрашивать данные доступа пользователя.
• Затем плагин отправляет запрошенные данные, и пользователь может получить доступ к магазину Prestashop.

Дополнительные ресурсы

• Войдите в Prestashop
• Вход через Prestashop OAuth SSO
• Вход через SAML SSO в Prestashop
• Часто задаваемые вопросы (ЧЗВ)