問題タブ [browserid]

FAQでは、BrowserID (ペルソナ) セキュリティ アサーションのローカル検証を行わないことを推奨していますが、指示に従うのが苦手です。

だから...とにかくローカル検証を実装したい。クライアント ライブラリがサーバー側に渡す唯一のものは、「アサーション」と呼ばれる暗号化されたもののブロックのようです。おそらく、何らかの公開鍵暗号方式を使用して暗号化または署名されていると思われますが、詳細を見つけるのに苦労しています.

誰かがそれを説明できますか、または詳細を教えてくれますか?

一般的なタイトルでごめんなさい。私は現在、MozillaのPersonaで遊んでいます。Express -personaミドルウェアでExpress.jsを使用しているので、すべてのセットアップは非常に簡単でした。クライアント側の部分も簡単ですが、ドキュメントの特定の部分を理解するのに苦労しています。それは言う：

logedInUser：このコンピューターから現在サイトにログインしているユーザーの電子メールアドレス。誰もログインしていない場合はnull。たとえば、ブラウザーのCookieを調べて、誰がサインインしているかを判断できます。 [...]Personaはユーザーが現在ログインしているかどうか、およびユーザーが誰であるかについての独自の知識を持つ、loggedInUserに渡した電子メールアドレス 。これらが一致しない場合、ページの読み込み時に自動的にonloginまたはonlogoutが呼び出されることがあります。（出典）

express-personaは、パスワードの置換として機能するcrypto-fooを含むCookieを設定します（おそらく）。バックエンドから返されたメールアドレスを別のCookieに保存することになっていますか？それはあまり良い考えではないようです。たぶん、皆さんの1人は、それがどのように機能するかを知っています。

このチュートリアルとパスポートのドキュメントを使用してMozilla Personaを使用して認証するスケルトン アプリを作成しようとしましたが、ログインは常に失敗します。パスポートからのログが表示されないため、何が間違っているのかわかりません。これは私のフロントエンド コードであり、これは私のサーバー コードであり、Persona ポップアップが表示されますが、そのポップアップからログインすると常に false になります。 req.isAuthenticated()

クライアントコードのスニペットは次のとおりです。

そして、これはサーバーコードです:

Web Cryptography APIで提案されたWebブラウザーのJavaScriptランタイム環境への追加により、JavaScriptを使用してブラウザーのbrowseridアサーションを安全に検証できますか？

私は（Mozillaからの）ペルソナログインシステムを実装しています。開発マシンで、認証サーバーへのcURLを使用して接続できません。少なくともそう思われます。

まったく同じスクリプトがCLIから実行されます。

更新：* curl_error（）*からこのエラーが発生します：

cURL PHPモジュールがインストールされ、httpsをサポートします

テストスクリプトは次のとおりです。

GitHubにもあります

CLIから実行した場合の出力：

サーバーから実行した場合の出力

私はFedoraLinuxを実行しています

Rails 3.2.9を使用する

Gemfileに追加:

走った：

アプリを参照し、[ Browserid でログイン] ボタンをクリックします。次のエラーが発生します。

[GET] "/auth/browser_id/callback" に一致するルートはありません

私は何が欠けていますか？

Mozilla Persona（browserid）をPyramidアプリケーションに統合しようとしています。ログインプロセスは次のとおりです。

1. ユーザーはログインボタンをクリックして任意のページにログインできます
2. 次に、ポップアップにログインフォームが表示されます
3. ユーザーが正しいログイン/パスワードを入力すると、ユーザーの資格情報をチェックするPyramidビューへのポップアップによってajax呼び出しが行われ、チェックが成功した場合はPyramid記憶機能が呼び出されます。
4. その後、browseridjavascriptコードは現在のページをリロードします

ここで、新しいユーザーがWebアプリをサブスクライブする場合を処理し、いくつかの詳細（必要なユーザー名など）を要求する新しいビューを表示したいと思います。

「remember」関数はポップアップからのajax呼び出しによって呼び出されるため、ユーザーを「/newuser」ページにリダイレクトできません。したがって、記憶されているbrowseridに対応するユーザーがデータベースにない場合は常に、すべてのビューで新しいユーザーを「/newuser」URLにリダイレクトする必要があります。

ビューを呼び出して代わりに「new_user」ビューを呼び出す前に、ユーザー要求をインターセプトする方法はありますか？または、私の認証アプローチが根本的に正しくなく、別のアプローチに頼るべきでしょうか？

サイトにアクセスするための電子メール アドレスを制限したい場合、ペルソナを使用する利点は何ですか? サーバーで承認済みの電子メール アドレスを同じ方法で管理する必要がありますか? 何が欠けていますか？

ここで基本的なものが欠けているように感じますが、それを見つけるのに苦労しています。誰かがペルソナにログインするために使用したメールアドレスにアクセスする必要があります。オープンバッジのアサーションとして渡すことができるように、メールアドレスを探しています。

私はプロジェクトでMozillaPersonaを使用しています。loggedInUser後に更新したいのですがonlogin。ただし、loggedInUserはに渡されるオブジェクトの属性ですnavigator.id.watch()。 navigator.id.watch()（AngularJSサービスで）一度呼び出されました。オブジェクト全体を渡して、もう一度呼び出す必要がありますか？正しくないようです。私が間違っている？= P

これが私のサービスです：