9

Na verdade são duas perguntas (com direito a subperguntas).

  1. Hoje disponho de um mecanismo de geração de tokens já implementado (herdado de uma aplicação web) que estou usando na minha API REST* para aplicativos móveis. Os aplicativos encorajam o usuário a deixar login e senha salvos para evitar a constante redigitação, de forma que a validação dessas credenciais a fim de se obter o token inicial acaba sendo um passo automático nos aplicativos. Os tokens têm um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação na API neste caso, por exemplo se o token deveria ir no header Authentication e se minha API deveria responder a um token inválido retornando HTTP status 401 - Unauthorized, se o método de autenticação deveria ser Basic ou algum outro tipo. Hoje é trazido um JSON com campo login valendo true ou false e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.

  2. A segunda pergunta é uma versão mais ampla da primeira: no cenário de uma API usada somente por dispositivos móveis que poupam o usuário da digitação de login e senha, qual forma de autenticação usar? Convém continuar adotando tokens? Ou em vez disso enviar login/senha a cada solicitação? Fala-se em OAuth com Bearer; Seria essa a forma preferível? Estou misturando conceitos?

* "REST" de um jeito provavelmente considerado "sem-vergonha"; não conheço muito sobre o que se chama de "REST puro" e além disso a API é somente-leitura, portanto eu não tenho nenhuma preocupação com idempotência ou mudar estado do servidor de maneira consistente.

2 Respostas 2

2

Assim como Abraão, eu creio também que atualmente o método mais utilizado para autenticação em aplicativos móveis é com contas pré-cadastradas no dispositivos (leia-se uso de contas de Redes Sociais ou a conta configurada no dispositivo [Google Play]). Eu particularmente, estou utilizando o próprio esquema de autenticação Android que a Google oferece, utilizando de OAuth2 em conjunto com Google Account e Google Play Services.

Porém, sei que isso não responde sua questão. Porém, creio que os seguintes links, irão com certeza, tirar suas dúvidas: https://developer.android.com/google/auth/http-auth.html https://developers.google.com/identity/sign-in/

Espero poder ter ajudado em algo. Boa sorte!

1

Respondendo a segunda pergunta, mas a primeira podendo tomar como base. Acredito eu, que hoje os métodos mais comuns de autenticação, é usar uma API de autenticação da google, facebook, ou alguma outra API conhecida(ai vai depende do seu publico alvo), tanto para dispositivos moveis quanto para websites.

3
  • Essas APIs não voltadas para autenticar a base de usuários do Google/Facebook/Twitter/etc.? No meu caso é uma base de usuários separada e não tenho interesse de linkar esses usuários às suas contas nessas outras bases.
    – Piovezan
    Commented 11/12/2014 às 16:22
  • Por isso respondi a segunda pergunta que vc definiu de forma mais abrangente. Usando a api do google em um app android o usuario não vai precisar digitar login e senha nenhuma vez. Ja no seu caso em especifico não sei qual a melhor forma de você fazer a autenticação. Pensaria na mesma forma que você citou em enviar login e senha criptografada para autenticar, mas isso o usuario só digitaria uma vez, e ela ficar salva em um arquivo ou no BD para as próximas autenticação.
    – Skywalker
    Commented 11/12/2014 às 16:37
  • Entendi. Mas a API do Google somente valida contas do Google, estou correto? Porque se for isso, vou ter que alterar a pergunta para deixar claro que a base de usuários não deve ter nada a ver com o Google (a pergunta tem a tag android porque há mais pessoas seguindo essa tag do que a tag mobile). A pergunta que quis fazer é mais genérica porém não tão genérica assim.
    – Piovezan
    Commented 11/12/2014 às 16:42

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .