バックエンドサイトなし：ソーシャルネットワークを介したBaaS parse.comでのユーザー認証

毎朝、ゴルフボールに輪ゴムのように世界を広げ、夕方にはそれを包みます。 本当に質問があれば、これがどのように行われるかを示します。

R.ブラッドベリー



更新：解析は 2017年までに機能しません 。

はじめに

この記事では、データを保存および処理するためのBackend-as-a-Serviceアプローチについて説明します。 このアプローチの代表であるparse.comサービスの長所と短所について説明します。 ソーシャルを通じて簡単に提示されたユーザー認証サービス。 uLoginネットワーク。 主な目的は、これら2つのサービスがどのように相互作用するかを示すことです。これにより、プロジェクトはログインとパスワードによるユーザー登録を必要としませんが、同時に、ユーザーがオブジェクトを操作することを許可する機能は保持されます。

BaaSとparse.comについて

Parse.comは、最も人気のあるサービスとしてのバックエンド（BaaS）プロバイダーの1つです。 BaaSアプローチを使用すると、アプリケーションデータを保存および処理するためにサーバーを上げる必要がなくなります。 これは、モバイル開発および通常のWebで使用されます。 Parse.comには、サーバーを含むいくつかのプラットフォーム用の独自のSDKがあります。 しかし、私はjavascriptについて話します。



サーバーを上げることなくjavascriptを介してデータベースを操作する機能は、たとえばGithub Pages、Bitbucket、および他の多くの無料のアプリケーションでホストできるSingle page application（SPA）の優れた機会を開きます。 クライアントコードからデータベースを操作することについて聞いたときに最初に疑問に思ったのは、キーがよく知られているため、アクセス権の差別化です。 parse.comのドキュメントを調べたところ、これにはユーザー認証が使用されていることがわかりました。 各ユーザーには、独自のユーザー名とパスワードがあります。 SDKには、新しいユーザーをユーザー名とパスワードで登録し、同じデータで認証するためのメソッドがあります。 電子メールを追加できますが、 parse.com自体は電子メール検証のためにカスタム電子メールを送信できます。







アクセス権は、作成されたオブジェクトに割り当てることができるACLによって区別されます。 たとえば、オブジェクトのパブリックリーディングへのアクセスを設定しますが、許可されたユーザーにのみ編集を許可します。 さらに、テーブルを操作するためのメソッドに制限を設定できます。 たとえば、全員にテーブルへの書き込みを許可することができますが、特定のグループ以外の全員への読み取りを禁止できます（たとえば、ログ記録の場合）。 また、管理者にはマスターキーが提供され、クライアントアプリケーションから完全なアクセスを取得できます。 ただし、SPAでは、キーを非表示にできないため、これは受け入れられません。 もちろん、スキームを編集したり、すべてのデータに対してCRUD操作を実行したりできる管理領域があります。

管理者：

問題文

ログインとパスワードのみによるユーザー認証は、失礼に見えるようになりました。 したがって、 parse.comの SDKにはParse.FacebookUtilsクラスがあり、これを使用してユーザーアカウントをソーシャルにリンクできます。 ネットワーク。 ただし、これは、javascriptのparse.com SDKで使用できる唯一のソーシャルネットワークです。 Twitterがありますが、 javascript 用ではありません 。 他のソーシャルネットワークを介してユーザーを本当に認証する場合の対処方法。 ネットワーク？

クラウドコード

幸いなことにParse.comは、データウェアハウスだけでなく、サーバー上でコードを実行する機能も提供します。 彼らはFichu Cloud Codeと呼ばれていました。 作成された関数のコードはユーザーが使用できません。つまり、秘密キーで署名されたクエリを作成するときに使用できます。 しかし、これはあまり役に立ちません。



私は、サイトに既製のユーザー認証ウィジェットを備えたサービスを選択し始め、 uLoginに決めました 。 選択についてのいくつかの言葉。 Loginzに目をつけたが、彼はユーザー名とパスワードを入力するよう要求し、Twitter経由でログインするように求めたため、彼には満足していなかった。 おそらく他にも、ソーシャルな人たちがいたでしょう。 ツイートを書くためのアクセスを要求するアプリケーション（omg、infuriates）。 そのため、 uLoginには優れたソーシャルサービスセットがあります 。 ネットワーク、既製のウィジェット、javascriptのコールバック関数でaccessTokenを返し、独自のソーシャルを作成することもできます。 ユーザー認証アプリケーション。



parse.comはログインとパスワードでユーザーを登録するように要求するため、uLoginによって返されるデータを使用してこのペアを取得できるという結論に達しました。 これを行うには、関数を定義する必要があるアプリケーションでclound / main.jsファイルを作成します。 getCredentialsと呼びましょう。

 Parse.Cloud.define("getCredentials", function(request, response) { var token = request.params.token; var userLogin, userPassword; response.success({'username': userLogin, 'password': userPassword}); });
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

uLoginサービスを使用すると、返されるフィールドのリストを構成できます 。 ただし、必要なものは次のとおりです。

ネットワーク -ユーザーのソーシャルネットワーク識別子、

プロフィール -ユーザーのプロフィールのアドレス（ソーシャルネットワーク上のユーザーのページへのリンク（取得できる場合））、

uid-ソーシャルネットワーク内のユーザーの一意の識別子、

identity-グローバルに一意のユーザー識別子。



identityは通常、 profileに似たURLでもあるため、 ネットワークとuidからのユーザーログイン（ここではユーザー名 ）を接着することにしました。

パスワードにはもっと秘密が必要なので、 identity 、 token 、 secretのハッシュをパスワードとして使用することにしました。

一意性のアイデンティティ 、秘密のトークン 、 各uLoginエントリは、ユーザーとuLoginだけが知っている新しいトークンを作成し、 秘密はアプリケーション設定に保存されたソルトです。

この方法は、 uLoginを介した新しいログインごとに、新しいトークン 、したがって新しいパスワードが存在するため、 不適切です。 したがって、毎回新しいユーザーパスワードを保存する必要があります。 ただし、ユーザーのログイン後、 parse.comはセッションを長時間保存するため、毎回認証する必要はありません。 レディクラウドコード 。



ソリューションの品質はかなり疑わしいものですが、場合によっては非常に機能的です。 たとえば、ユーザー名とパスワードでユーザーの入力を拒否した場合。 ただし、この場合でも、メソッドはファイナライズされ、トークンを受け取った後にユーザーパスワードの更新を停止できます。 別のオプションとして、これはハッシュの代わりに一時的なパスワードとしてランダムな文字列を使用することです（この実現は少し後のことです）。



もちろん、トークンを確認した後、 uLoginからデータを取得して、一時パスワードが発行されます。 その後、そのログインを持つユーザーがいるかどうかを判断します。 そうでない場合は、登録します。 私たちは彼にソーシャルからのデータを書きます。 リポジトリ内のネットワーク（エイリアス、アバター）、ユーザー名とパスワードのカップルを返します。

uLoginおよびc parse.comとの対話はhttps経由で行われ、すべてのデータはユーザーのみが利用できます。



クライアント認証

parse.comで認証済みユーザーを取得するには、かなりのコードが必要です。

uLoginウィジェットの接続

 <script src="//ulogin.ru/js/ulogin.js"></script> <div id="uLogin" data-ulogin="display=small;fields=first_name,last_name;providers=vkontakte,odnoklassniki,mailru,facebook;hidden=other;redirect_uri=&callback=authCallback"></div>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

コールバック関数コードを追加します。

 var user; window.authCallback = function (token) { Parse.Cloud.run('getCredentials', {token: token}, { success: function (data) { Parse.User.logIn(data.username, data.password, { success: function () { user = Parse.User.current(); }, error: function (user, error) { //handle it } }); } }); };
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

これは、 先ほどクラウドコードで記述したgetCredentialsサーバー関数の呼び出しが発生する場所です。

ユーザーが次にvar user = Parse.User.current（）;を使用してログインするとき ユーザーが認証されているかどうかを判断できます。 その場合、uLoginウィジェットは非表示にする必要があります。

parse.comを使用した単一ページアプリケーションの長所と短所

長所

• サポートするサーバーはありません
• ファイル用に20GB、データ用に20GB、2TBトラフィック、1秒あたり30リクエスト、ユーザー数に制限なし
• サーバーでjsコードを実行する機能
• ファイルの操作（作成、コンテンツの取得、URLの取得）
• グラフ、イベントなどを備えた既製の優れた分析。

短所：

• データ遅延
• 自動バックアップなし（ダンプを作成するためのボタンがあります）
• 未使用ファイルの自動クリーニングはありません（このためのボタンがあります）
• バックエンド要求を削減する設計の必要性
• 2つの外部サービスへの依存：parse.comとuLogin（2番目の依存はサーバーで簡単に置き換えることができます）

注：

他のクライアントを同じ公開データに書き込むことができます。 クライアント側でuLoginを使用してユーザーを認証できる場合、ユーザーデータの管理に障壁はありません。 欠点は、リクエスト数の制限が一般的であることです。

デモプロジェクト

imhonet、bookmix、livelibを見て、読んだ本を保存するための独自のサービスを作成することを考えました。 その主な目的は、評価、購入、カバーなどの余分な重みのない本のリストです。 このようなサービスを選択する際、データストレージの信頼性に関心があるため、プロジェクトが1〜2年で終了し、データが失われることはありません。 したがって、サービスを開発するときに、外部の無料のデータウェアハウス、つまりBaaSを使用することにしました。 これにより、ホスティングの費用を支払う必要がなくなり、ソフトウェアの更新の問題を心配する必要がなくなります。 私はGithubページで統計を保持することを計画しました。 しかし、サービスがparse.comに依存し始めたため、ホスティングも使用することにしました。 SPAについては、AngularJSを使用することにしました。彼を知っており、彼に必要なものを知っていたからです。 エンティティの分離を熟知している人は、それらの間の奇妙な依存関係に気付くでしょうが、AngularJSプロジェクトごとに、私はそれについて何か新しいことを学びます。 今、私はより良い方法を知っています。 アカデミック目的でのみ書き換えるのは不要だと考えられました。



ソーシャルを通じてのみユーザーを登録すると言う人もいます。 ネットワークは、社会へのアクセスが失われた場合にプロジェクトへのアクセスを取り戻す際に深刻な問題を引き起こす可能性があります。 ネットワーク。 この問題は、uLoginを設定してユーザーのメールアドレスを尋ねる（そして自分で確認する）ことで解決し、メールでアクセスを復元します。 しかし、これはデモプロジェクトでは当てはまりません。読んだ本のリストは公開されているため、深刻な問題が発生した場合は、別のアカウントに複製するだけです。



ソースコード

デモ



PS：デモは私の制作であり、オフにすることはできません。



Upd ：Habra効果はありませんでしたが、制限の前にはまだたくさんあります（クリックして拡大）