如何向需要使用第三方服务的服务提供凭据
向需要使用第三方服务的服务提供凭据的方式有多种，具体选择取决于服务的要求和安全性需求。以下是一些常见的方式：
- API 密钥：API 密钥是一种常见的凭据形式，用于对服务进行身份验证和授权。通常由服务提供商生成，并通过一对公钥和私钥的形式提供给用户。用户在使用服务时，需要将 API 密钥作为参数或请求头的一部分发送给服务提供商进行验证。
- OAuth：OAuth 是一种开放标准的授权协议，用于允许用户授权第三方应用访问其受保护的资源，而无需提供用户名和密码。通过 OAuth，用户可以向第三方服务提供商授权访问自己的资源，而无需将凭据直接提供给第三方应用。
- 服务账号：对于需要代表用户访问服务的情况，可以使用服务账号。服务账号是一种特殊类型的账号，用于代表应用或服务与其他服务进行通信。服务账号通常具有独立的凭据，可以通过配置文件或环境变量的方式提供给应用程序使用。
- JWT（JSON Web Token）：JWT 是一种开放标准的身份验证和授权机制，用于在服务之间传递声明。JWT 由三部分组成：头部、载荷和签名。在使用第三方服务时，可以使用 JWT 作为凭据进行身份验证和授权。
- SAML（Security Assertion Markup Language）：SAML 是一种基于 XML 的开放标准，用于在不同的安全域之间传递身份验证和授权信息。通过 SAML，用户可以向第三方服务提供商提供身份验证凭据，并获取相应的访问权限。
对于以上提到的方式，腾讯云提供了相应的产品和服务来支持用户使用第三方服务的凭据。具体推荐的产品和产品介绍链接地址如下：
- API 密钥：腾讯云的密钥管理系统（Key Management System，KMS）可以帮助用户管理和保护 API 密钥。详情请参考：https://cloud.tencent.com/product/kms
- OAuth：腾讯云的身份与访问管理（Identity and Access Management，IAM）可以帮助用户实现 OAuth 授权和访问控制。详情请参考：https://cloud.tencent.com/product/cam
- 服务账号：腾讯云的访问管理（Access Management，CAM）可以帮助用户创建和管理服务账号，并为其分配相应的权限。详情请参考：https://cloud.tencent.com/product/cam
- JWT：腾讯云没有特定的产品针对 JWT，但用户可以使用腾讯云的云函数（Serverless Cloud Function，SCF）或云原生应用引擎（Cloud Native Application Engine，CNAE）来处理 JWT 相关的逻辑。
- SAML：腾讯云的身份与访问管理（IAM）可以支持用户与第三方服务提供商之间的 SAML 协议集成。详情请参考：https://cloud.tencent.com/product/cam
需要注意的是，以上推荐的产品和服务仅为腾讯云的相关产品，其他云计算品牌商也提供类似的产品和服务，用户可以根据自身需求选择合适的解决方案。
相关·内容
大多数IDAM服务器(Identity server 4、Gluu、Cloud服务)提供了一种在实际身份服务器上承载登录UI的方法。这个登录页面可以定制，这样它就可以像你的网站一样被打上烙印。这对于安全流很好，所以当您到达授权终结点时，您将被重定向到您的身份服务器/登录页面。
，但您能在客户端应用程序上托管登录页面吗？
如果是的话：
是否建议这样做？是否比在Identity Server上承载登录UI更安全？会破坏诸如OIDC / Auth 2.0授权代码流之类的安全流标准吗？是否只是调用要对其进行身份验证的API？例如一个托管在身份服务器上的人。有些人似乎支持这一点，但与现有的安全流相比，这
浏览 3提问于2022-02-07得票数 0
最近我一直在寻找有关FIDO (uaf，u2f，fido2)的详细信息，但我不明白一点: FIDO会取代SSO吗？还是两个人一起工作？在认证解决方案方面，应该向客户提供什么建议？等。
使用SSO，我们有身份管理器服务器。有了fido我们就有FIDO服务器。他们必须一起工作还是根本不合作？
请帮我理解一下。
非常感谢！
寻找"fido vs sso"，"fido或sso“没有提供任何具体的信息。
浏览 8提问于2022-11-30得票数 0
寻找关于如何将Fiware/Wirecloud与Moodle集成的最佳实践指导。看起来Fiware/IdM应该通过插件提供用户数据和Moodle连接。Moodle提供了许多不同的身份验证选项(实际上太多了，很难确定最佳路径)。理想情况下，一旦登录，Moodle插件还应该能够访问其他FIWARE后端服务。
原则上应该是可能的，但我注意到Fiware学院的没有FIWARE实验室的SSO :-)
浏览 3提问于2015-10-22得票数 0
我正在努力弄清楚实现SSO需要做些什么。所以基本上我在建造：
( a) php网站(example.com)
b)安卓应用程序(com.android.example)
站点和应用程序将有一个登录表单+社交登录按钮，通过twitter、FB等进行身份验证。
我不理解的是-人们是如何在不需要重定向的情况下实现对OIDC服务器进行身份验证的站点登录表单的？如果我正确理解- OIDC流要求将人重定向到不同的网站进行登录.我如何避免这样的用户体验是无缝的登录到我的个人OIDC服务器(对于其他社交登录，如谷歌-我真的不关心重定向)？
浏览 0提问于2018-04-23得票数 0
回答已采纳
2回答
我正在使用第三方web服务。为了让我的用户能够访问他们的第三方帐户，他们需要登录。我为他们提供了从我的站点登录到第三方站点的接口。我的问题是，如果webservice已经提供了SSL certificate，我还需要吗？has服务有一个特殊的登录方法，它使用https协议。这是否意味着我的站点不需要SSL证书，或者我必须为我的站点购买SSL证书？
谢谢
浏览 0提问于2010-02-06得票数 2
回答已采纳
1回答
我正在尝试从Nuget存储库下载包，它需要使用NuGet.Core访问它的凭据。
我知道，没有身份验证的Nuget存储库可以按以下方式访问：
//ID of the package to be looked up
string packageID = "EntityFramework";
//Connect to the official package repository
IPackageRepository repo = PackageRepositoryFactory.Default.CreateRepository("https://packages.nug
浏览 1提问于2015-05-28得票数 1
回答已采纳
1回答
我正在建一个商店，商家(卖家)可以把他们的商品卖给顾客。我正在使用PayPal快递付款。我已经用我自己的API凭证进行了测试，它工作得很好。
但是，为了能够作为特定的商家使用ExpressCheckout应用程序接口，我必须获得它的权限。
他们可以直接从他们的个人资料中向我提供权限吗？我不想实现一些特殊的工作流程来从他们那里获得权限。
然后我应该将每个商家的凭证存储在我自己的数据库中吗？
它是什么类型的凭据？商家如何/从哪里获得这些并发送给我？
我读过一些许可API文档，但我还不确定我是否真的理解了它。因此，如果能从已经有经验的人那里得到直接的答案，我会很高兴。
谢谢!
浏览 2提问于2013-03-07得票数 0
2回答
FB登录认证机制
、、
我在线阅读，了解如何使用FB连接和如何创建一个应用程序，使用fb登录。我想知道的是，在身份验证之间是否有可能操作数据。
所以我对此感到困惑。所以我们有
FB服务器
我的申请
我的服务器。
所以当我打开我的应用程序时，我的应用程序会请求fb登录，我们把这些信息发送到FB服务器。然后FB服务器给我的应用程序一个令牌，然后我的应用程序将令牌发送到我的服务器，然后我的服务器将使用FB服务器进行验证？它是这样工作的吗？
如果这是它的工作方式，为什么在FB登录中没有黑客攻击，人们就不能制造假令牌吗？
浏览 1提问于2014-05-20得票数 0
1回答
我不是保安专家。我们已经准备好了带有spring安全性的服务。
现在，我真的对什么是保护我们的web服务的最佳方法感到困惑。
我们也将有SSL连接。我们的web服务将被我们的移动应用程序和web应用程序使用。
我读过关于OAuth1.0和2.0协议现在非常流行的授权web服务的文章。
那么，谁能指点我是否应该使用机制，因为它主要用于访问第三方数据，在我们的情况下它并不需要，但是我们的客户端方法使用OAuth2.0或SSL结合SHA散列算法就可以很好地保护web服务？
浏览 0提问于2014-11-12得票数 0
2回答
我们正在开发一个基于REST的API，开发者可以从他们的移动应用程序中调用它，比如google应用程序。
我们如何确保应用程序开发人员不会通过存储用户或将用户发送到"EvilServer“来窃取用户/传递用户。
如果我们不信任应用程序开发人员，是否存在解决这个问题的技术解决方案？
一种解决方案是在本地平台上拥有自己的可信身份验证应用程序，让应用程序开发人员使用它进行身份验证吗？
浏览 4提问于2015-08-26得票数 0
回答已采纳
我一直在网上搜索使用reactjs发送电子邮件，他们似乎都在通过安装email.js并通过他们的域注册它来工作。
但是，我的服务器上有一个本地运行的SMTP服务器，可以通过我的域发送和接收电子邮件。
我想知道如何通过ReactJ和JavaScript使用这个服务？
我还在同一台服务器上运行了一个Nextlcloud实例，它可以成功地发送电子邮件，而无需为密码、重置和其他事情做任何外部配置。
任何帮助或链接将非常感谢帮助解决这一问题。如果我还需要澄清什么，请告诉我。我想有一些文本框，一个人可以输入，他们点击提交，它将发送一个特定的电子邮件从我的领域。
浏览 4提问于2022-02-08得票数 0
回答已采纳
我正在尝试如何张贴到第三方网站使用登录表格(用户名和密码)。
我从提供程序获得的唯一细节是使用JSON有效载荷(用户名："user@test.com"，密码："userpass“})向/api/auth发布，如果ajax调用成功，则将用户重定向到url.com/members。
有人能给我一些指点/指导才能这样做吗？
我发现了这样的东西：
$url = "https://url.com/api/auth";
$curl = curl_init($url);
curl_setopt($curl, CURLOPT_URL, $url);
curl_seto
浏览 3提问于2022-06-16得票数 -1
1回答
在用户注册API中，如果我需要在其他第三方服务器上注册相同的用户，比如Wowza，可以开火。在第三方服务器上注册时，我们使用一些算法创建密码，在这种情况下，需要在API响应中返回登录凭据，以便客户端直接使用API。
据我说：
返回API响应中的凭据。
在第三方服务器上注册部分移动到客户端。
请建议我需要遵循的是哪一个。
如果谁有面糊的解决方案，那么请建议。
浏览 1提问于2016-07-29得票数 0
1回答
我遇到了“调用者未被服务验证”的问题。在客户端从IIS7调用服务方法时。客户端和服务位于不同的机器上。但是，当我提供凭证时，它工作得很好。那么，有什么方法可以在没有凭据的情况下调用服务方法，并且没有这个问题吗？
谢谢
浏览 2提问于2010-03-17得票数 1
1回答
OAuth 2.0规范声明：
授权服务器必须支持对授权端点使用HTTP "GET“方法，也可以支持使用"POST”方法。
如果授权服务器支持POST方法到授权端点，它是否需要：
与GET方法一样接受参数，使用查询字符串
接受参数作为请求体，或者作为application/x form-urlencoded或者其他格式，比如JSON。
另外，它应该用3xx (我们使用303和GET)重定向来响应，还是也可以用200响应，包括一个位置标头？
我们的用例：
授权服务器是微服务体系结构的一部分。此特定授权服务器负责从远程源获取标识，并将ID令牌返回给客户端。上游服务器可以实现任何其他协
浏览 0提问于2022-05-06得票数 2
我想解释一下我的问题：
我希望允许用户通过自己的帐户(登录/密码)或社交网络(一开始是Facebook)连接到我的api。
然后，我将允许任何应用程序使用我的api，并对用户进行身份验证。
我的第一个想法是什么时候通过他/她的登录/密码访问用户，并返回一个令牌作为下一个请求的会话。
但是OAuth似乎是更好的实现，但我不知道如何做到这一点：
我的一个应用程序必须通过登录/密码连接，比如twitter web (如果我不想让我的用户登录:p)，我必须在某个地方实现登录/密码。
我还必须将我的应用程序注册到oauth系统( twitter是否将他们的web应用程序添加到oauth中?)
浏览 2提问于2010-12-15得票数 1
回答已采纳
1回答
我们使用的WSO2是v5.4.1
我们希望基于外部用户数据存储对用户进行身份验证。所需步骤：
用户通过Oauth登录到WSO2的用户名和密码
登录请求被转发到外部服务，外部服务通过给定的用户名和密码对用户进行身份验证，而不通过WSO2进行身份验证是默认的用户存储。
服务向WSO2返回某种期望的响应，并在此响应的基础上执行某种业务逻辑。
我看到有两个方案可以做到这一点：
实现自定义本地身份验证器
实现自定义联邦身份验证器
正确的方法是什么？
谢谢,
浏览 0提问于2018-02-05得票数 2
回答已采纳
由于我们不仅使用Bluemix，而且还使用其他服务(以及内部部署)，因此我们使用自己的Jenkins，而不是IBM服务。
对于cf命令，我如何为Jenkins用户获取/提供凭据？有没有可能，或者我必须为此创建一个“虚拟”IBM帐户？
浏览 0提问于2015-10-13得票数 1
我正在构建一个内部服务Spring应用程序，该应用程序为它背后的各种不同服务提供了一个API。
我的应用程序可以代表用户调用其他各种API(即执行查询)，提供一个明确定义的单一的同构接口。
我的应用程序有自己的标准身份验证。任何失败都将导致401未经授权的空体。此外，其中一些API需要我的用户可以提供给我的应用程序的凭据。(这是一个内部应用程序。我和我的用户都知道管理‘第三方’证书的安全影响)。
现在，我在400范围内寻找正确的HTTP状态代码，以便在用户通过我的应用程序正确地进行身份验证时返回，但我缺少了所需的凭据，以便能够代表用户完成对远程API的请求。
我有几个选择：
401未经授权-似
浏览 3提问于2020-01-28得票数 0
1回答
我有两个防火墙项目(默认和暂存)。两者都是在CLI中相同的别名下初始化的。
我可以成功地将所有东西部署到“默认”，并成功地将所有功能部署到“暂存”。在部署到暂存时，我会得到一个403错误。
我使用下面的代码初始化了我的firebase管理员，它使用了我的服务帐户key.json文件，这样我就可以在本地运行我的函数了。
// Import from Firebase
import * as functions from 'firebase-functions'
import * as admin from 'firebase-admin'
// Admin In
浏览 2提问于2020-05-02得票数 0
回答已采纳
3回答
我正在尝试为我的网页建立一个错误报告服务。想法很简单。如果在访问时客户端浏览器中出现错误，我希望错误处理程序向我发送有关该错误的说明。我的页面是静态的，所以我希望避免为此添加服务器端组件。例如，我可以使用ajax请求并使用gmail帐户将邮件发送给我吗？我猜ajax不会跨域吧？也许还有其他选择？
编辑
我的主要语言是Java。那么Google App engine呢？我可以在那里托管一个可以发送电子邮件的应用程序。我不确定该如何与该应用程序进行交互？
另一种想法-如果我必须使用服务器端组件，也许最好的选择是找到现成的web应用程序(我的主机上运行着java应用程序服务器)来发送邮件并部署它。然
浏览 4提问于2011-02-08得票数 0
回答已采纳
1回答
安全跨域认证表格
、、、
我有服务器'A‘。你有一个服务器B。服务器'A‘希望向服务器'B’提供一个登录表单(用户名和密码)。
如何实现服务器'B‘无法查看/拦截用户填充的内容的场景？凭据必须以安全的方式到达服务器'A‘而不被拦截。
这有可能吗？
下面是一个更好的例子：
服务器A向服务器B提供服务，服务器B向具有密码进入服务器A的用户提供服务。在某种程度上，用户必须在服务器A中进行身份验证，但是登录表单将显示在服务器的B页面中。我说清楚了吗？服务器B无法读取这些凭据。
业务逻辑是服务器A有许多客户端，服务器A将允许第三方为服务器的A客户端开发应用程序。拥有主密码的是服务器A、和服
浏览 4提问于2013-05-08得票数 1
假设我正在创建一个在线服务，允许我的客户发送电子邮件(使用他们的SMTP凭据)，我应该考虑哪些风险，以及如何防止他们？
电子邮件的发件人将始终是SMTP凭据的用户名。
我最担心的是，如果我的客户发送垃圾邮件，我的服务器可能会被列入黑名单。即使SMTP服务器不是我的，但我的服务器充当一个简单的“电子邮件客户端”，也会发生这种情况吗?如果是，我如何避免它？
浏览 0提问于2022-10-23得票数 1
回答已采纳
2回答
我使用下面的代码进行Facebook登录。
function login(){
FB.login(function(response) {
if (response.authResponse) {
FB.api('/me', function(response) {
alert(JSON.stringify(response))
});
浏览 0提问于2012-07-19得票数 0
3回答
我需要我的应用程序使用rest服务，因为我将从javascript/jquery调用它，所以我需要将它公开给最终用户。
在这种情况下，我还需要向最终用户公开凭据，这是我想避免的事情。作为另一种选择，我正在考虑使用一个令牌来替换敏感凭据，但我关心的是如何防止最终用户重用或召回rest服务使用不同params的相同令牌？
最后，如何成功地保护应用程序，以便只有应用程序才能使用rest，而不是最终用户本人？
编辑
这个问题引起了一些疑问，所以我想说清楚。例如:我的应用程序中的Javascript包含一个ajax调用，它调用第三方api。例如，http://domain.com/api/insert-
浏览 0提问于2015-07-14得票数 8
回答已采纳
1回答
这是我第一次使用航天飞机。我遇到了一个与航天飞机一起工作的问题。我运行穿梭机将本地服务器与本地计算机上的远程服务器连接起来。我可以使用ssh和pem文件访问服务器。我在我的MacOS上使用了以下命令。
sshuttle --dns -vr dev 10.0.0.0/0 --ssh-cmd 'ssh -i ~/.ssh/dev.pem'
我已将ssh设置为在.ssh/config文件中使用dev主机名。
host dev
HostName xx.xxx.xx.xx
user root
IdentityFile ~/.ssh/dev
但我无法将本地服务器连接
浏览 4提问于2021-06-24得票数 0
1回答
最著名的SSO工作流要求身份提供者提供登录页面/表单，例如Google对其服务的身份验证。
其中的一个例子是：简单SAML SSO工作流
但在我的例子中，我有很多应用程序，每个应用都有自己的登录表单。因此，必须执行GET请求才能获取常见的登录表单，这会破坏UI体验。在我的例子中，我已经实现了用于登录的表单。
是否有一个工作流允许我维护登录页面，但仍然有一个用于SSO/公共身份验证机制的通用方法？
解决这一问题的办法是加倍努力：
我的意思是，应用程序和用户都有凭证，因此在登录期间，我只发送应用程序凭据，与用户凭证一起，我得到一个普通的承载令牌。但是我有完全在Javascript或Android中
浏览 0提问于2022-03-14得票数 0
我正在尝试构建以下内容：
本地用户帐户网站(使用ASP.NET MVC)
向移动应用程序公开数据的API (使用ASP.NET Web )
移动应用程序(最初是安卓，通过OAuth连接)
注意:我不需要与其他提供商共享我的数据，但我可能希望让一个安卓和iOS应用程序连接到同一个web服务。
我使用最新的ASP.NET Web项目模板创建了一个项目，并选择了“个人授权”，这样我就可以访问ASP.NET登录身份系统等等。
查看示例，我发现它包括使用OAuth 2“资源所有者密码凭据”授权授予请求访问令牌的能力，例如：
grant_type=password&userna
浏览 2提问于2014-02-03得票数 6
1回答
例如，我有3个服务：
身份验证
卖方
买家
他们每个人都有自己的数据库，模型，服务.等
身份验证服务了解用户、用户组、角色、权限和创建令牌.
我应该把买卖双方的实体放在哪里？关于认证服务，还是关于买卖双方的服务？
卖方/买方服务应如何相互作用以创建新的卖方/买方实体？
卖方/买方服务应如何检查权限？
卖方和买方实体有一些共同的字段:名称、密码、电子邮件.，但每个实体都有自己的附加字段。
买卖双方相互作用。
浏览 4提问于2016-02-13得票数 19
回答已采纳
我想知道，STS在认证联邦用户方面是否本质上像科尼托？
每个AWS文档：
AWS安全令牌服务(STS)是一种web服务，允许您为AWS标识和访问管理(IAM)用户或您身份验证的用户(联邦用户)请求临时的、有限的权限凭据。
每个AWS文档：
亚马逊科尼图允许你在你的网络和移动应用中快速、方便地添加用户注册、登录和访问控制。Amazon扩展到数百万用户，并支持与社交身份提供者(如Facebook、Google和Amazon )以及通过SAML2.0的企业身份提供者登录。
在对移动应用程序的移动用户进行身份验证方面，STS和认知的区别和用例是什么？
浏览 0提问于2019-12-20得票数 1
回答已采纳
2回答
假设我有一个在IIS上运行的网站。网站需要从第三方REST web服务获取/发送敏感数据。
为什么不应该允许网站(服务器端，而不是客户端)直接使用第三方web服务，而应该允许单独的内部服务调用第三方web服务？
网站->第三方网络服务
或
网站->内部服务->第三方Web服务
浏览 0提问于2016-06-23得票数 1
如果我想通过一个CI服务器(如Jenkins亚特兰蒂斯竹)将一些软件部署到远程服务器(例如Heroku或我自己的具有SSH访问权限的VM )，那么有什么有效的方法来保证MySQL密码之类的东西的安全呢？我的数据库(潜在的)包含一些非常敏感的信息，并且在第三方的服务器上保存密码(例如亚特兰蒂斯)使我在夜间无法入睡。理想情况下，我希望它永远不要接触第三方，但我会很高兴它只是通过而不被存储。
我意识到这对Q/A格式来说不是一个很好的问题，但我正在尽可能的具体。
浏览 0提问于2013-02-14得票数 0
1回答
基于EC2和S3的文件上传API
、、、、
我正在用NodeJS和AWS开发应用服务器。
我正在用ELB和EC2s设置服务器环境。
我使用ELB作为负载平衡器，并附加了几个应用服务器EC2实例到它。
一个EC2实例用于MongoDB。
我的问题是关于请求，包括文件上传。
我认为上传的文件不应该在app服务器(EC2实例)中，所以我将尝试将上传的文件保存在S3中，并允许应用服务器(EC2实例)访问它。
粗略的解决方案是，如果应用服务器接受客户端的文件，将其移动到S3并删除应用服务器上的文件。
但这样会造成一些性能损失，我不觉得这是一个干净的方法。
这是最好的方法吗？或者还有另一种解决方法。
我认为这是将文件上传到S3的最佳方式。
但是文件
浏览 3提问于2014-12-06得票数 0
1回答
在我们的开发商店里，我们已经实施了一半的正确的密钥管理。我们有一个SOAP服务(密钥管理web服务)，它可以用于检索其他系统的密码。因此，例如，我可能会向该服务请求密码，比如生产PostgreSQL DB。我使用AD凭证访问web服务，它决定我是否被授权接收DB密码。如果是的话，它就会在回复中被发送。然后，我可以跨所有其他软件组件使用此服务，而不是将DB密码存储在静态配置文件中(如Tomcat的context.xml等)。
当然，问题是，在自动化过程中，传递到web服务的AD凭据需要存储在某个地方。因此，要向DB (或任何其他安全资源)获取密码，只需访问用于存储AD凭据的内容，然后将它们提交到
浏览 0提问于2014-08-07得票数 2
背景
我有一个web应用程序"APP1" (前端: Vue.js &后端: azure函数)部署在azure应用服务中。我已经实现了客户导向的登录(轻松使用)，之后我可以使用提供者的页面登录验证用户，无论是AAD还是google。
目标
我在primes服务器上部署了另一个web应用程序"APP2"。我想从APP1重定向到"APP2"，并自动在without provider's sign in page中注册。我将从环境变量读取凭据。
试用解决方案
我发现了一个类似的问题，，however I am unable to us
浏览 3提问于2022-10-31得票数 0
回答已采纳
我在一个web应用程序中工作，其中有与其相关的个人资料页面的用户帐户。我想在用户的个人资料页面上添加三个链接，通过他们的个人资料页面将他们链接到他们相关的脸书，推特和LinkedIn账户。我还想实现一种安全的方式将用户凭证存储在本地，这样他们就不必每次在我的web应用程序中输入他们的个人资料时手动登录这些服务(Facebook，Twitter，LinkedIn)。你认为什么是最好的方式，
1-在运行帐户配置文件上实施社交媒体内容。2-安全地将用户的凭据存储在本地，以便在他们登录到我的网站上的个人资料帐户后自动登录到任何社交媒体。
非常感谢
浏览 1提问于2013-01-17得票数 0
我知道，以纯文本存储登录凭据是安全的基本原则之一，但我正在研究一些我无法想到的其他解决方案。
我的服务通过IMAP连接到用户的电子邮件。为了连接到电子邮件服务器，我的服务必须知道用户电子邮件帐户的登录凭据。
通常，我会使用某种加密或哈希机制将用户凭据存储在数据库中，但是由于散列是单向的，所以我无法使用散列凭据登录到电子邮件服务器。
如果用户必须拥有连接到第三方系统和我的系统的凭据，我如何为我的服务创建一个安全的系统？
浏览 0提问于2012-05-19得票数 7
我正在创建一个客户端软件，以帮助在线卖家分析他们的paypal交易，在用户可以使用该软件之前，需要完成的一个步骤是，他们需要将paypal api access授予我的软件如下所示：
然而，我不是paypal的第三方供应商，所以我的问题是，我如何应用这个角色？
我搜索了developer.paypal.com，但没有找到任何线索。
浏览 4提问于2014-02-09得票数 0
回答已采纳
2回答
我需要使用密码来登录服务，我需要用Python进行一些操作，但我不想将密码存储在代码中。
我做了一些研究，发现了base64的编码。这似乎很好，但无论如何它都需要将密码存储在代码中。
>>> import base64
>>> encoded = base64.b64encode('data to be encoded') # password stored in the code
>>> encoded
'ZGF0YSB0byBiZSBlbmNvZGVk'
>>> data = base6
浏览 2提问于2015-06-11得票数 5
回答已采纳
4回答
我构建了一个web应用程序，它基本上要求用户使用表单(对于随机的第三方服务，知道哪一个不重要)的凭证。一旦用户用第三方服务应用令牌填充表单，带有令牌的请求被发送到应用程序后端，后端获得令牌并向第三方服务发送请求，以检查令牌是否有效。此时，第三方服务使用200 - {randomObject: object}或401 - Unauthorized返回对后端的响应。
下面是我的问题:如果第三方服务返回401，后端应该返回200 - false还是401 - Unauthorized？
我和我的同事一直在争论这个问题。我的观点是，对应用程序后端的访问是授权的，参数是正确的(请求中存在一个令牌)，所以
浏览 6提问于2016-11-23得票数 1
回答已采纳
Django站点充当oauth2提供程序。应用程序tomcat_app的设置如下所示：
每当有人试图登录到tomcat_app时，用户就会被重定向到Django。如果用户能够提供有效的凭据，他们将被重定向到tomcat_app。到目前一切尚好。Tomcat_app还提供了一个REST，它知道oauth2工作流。如果reqeust提供了一个有效的令牌请求，则将被接受。
我头脑中的结：第三台服务器也应该被授予使用tomcat_app rest的权限。是否有可能
在django externalapp_user/externalapp_password中设置一个新用户
通过向dja
浏览 5提问于2021-01-11得票数 0
回答已采纳
3回答
我想将我的容器日志传递给AWS Cloud Watch。
我无法在Docker Desktop for Mac中设置AWS凭据。
Docker Version : Version 19.3.5
Mac OS Version : 10.14.6
我已经用亚马逊网络服务凭证创建了~/.aws/credentials文件。
aws_access_key_id : XXXXXXX,
aws_secret_access_key" : XXXXXXXX
我尝试通过以下方式运行Docker：
docker run --name flask -v ${HOME}/.aws/:/root/.aws/:
浏览 2提问于2020-03-24得票数 2
这是一个比较笼统的问题，但我希望它对此仍然有效。
到目前为止，我已经了解到，一般来说，移动应用程序(如官方Pinterest应用程序)使用密码凭证流让用户直接登录和访问API。(让我们假设他们在这方面使用了OAuth )
因此，他们收集用户名和密码，将其发送到他们的服务器，并得到一个令牌作为回报，用于后续请求。
现在，用户不希望注册并创建一个帐户，例如使用Facebook作为授权服务器。所以我的问题是：
这个流程是如何实现的？
我有教养的猜测：
用户在移动应用中选择“使用Facebook登录”
使用return_uri =移动应用打开Facebook
移动应用程序接收令牌
移动
浏览 3提问于2014-09-14得票数 1
回答已采纳
当使用oAuth2 ( Javascript版本)实现Facebook登录时，我从Facebook服务器收到一个访问令牌。到目前一切尚好。
我遇到的问题是，我希望实现一个RESTful后端，其中用户需要使用服务器生成的令牌对访问后端资源的每个请求进行身份验证。当在我的网站上使用标准登录(电子邮件+密码)时，这个令牌将由我自己的应用程序在服务器上生成，然后被发送到存储它的前端(所有事务都发生在https上)。
因此，如果用户想使用Facebook登录，我就考虑使用从Facebook收到的访问令牌将其存储在后端。这样，对后端的每个RESTful请求都可以根据此令牌进行检查。
但是，问题是后端无法检
浏览 0提问于2014-06-16得票数 4
我提供了一组公共web API供第三方应用程序(客户端)使用。我想跟踪这些客户端如何使用我的API，因此我需要为这些客户端生成令牌。同时，我需要对真实用户进行身份验证，不同的用户可以看到相同资源的不同表示。我知道OAuth2可以解决我的问题，但它很复杂。我更喜欢对用户和应用程序使用HTTPs + basic身份验证，因此我将在客户端和实际用户的HTTP头中使用不同的属性。这是合适的方式吗？
浏览 7提问于2014-03-25得票数 0
1回答
我试图在我的解决方案中实现身份验证/授权。我在API网关、“前端后端”服务和SPA (React + Redux)下有很多后端服务(包括身份服务)。我读过关于OAuth2.0/OpenIdConnect的文章，我不明白为什么我不应该使用资源所有者密码流？
客户端(前端服务器的后端)是绝对可信的，我只需将用户登录/密码发送到服务器，然后将其转发给身份服务器，接收访问令牌&刷新令牌，并将刷新令牌存储在内存(session、Redis等)中，并将访问令牌发送到SPA，SPA将其存储在本地存储中。如果SPA将发送带有过期访问令牌的请求，服务器将使用刷新令牌请求一个新请求，并使用新的访问令牌将请
浏览 0提问于2018-07-06得票数 7
回答已采纳
如何在自定义登录页面中通过Cognito对Okta用户进行身份验证，即无需将用户重定向到Cognito的托管UI？ 我已经成功地执行了these步骤“将Okta设置为具有Amazon Cognito用户池的SAML身份提供者”。我的Angular应用程序现在重定向到Cognito的托管UI以登录用户，而后者又重定向到Okta，用户在那里输入他们的凭据。成功登录后，控制返回到我的应用程序，URL中包含ID和访问令牌。 我已经看到了this问题，但它也谈到了将用户重定向到IdP登录页面。 我正在寻找像this或this这样的代码，但是我需要提供Okta用户的凭据，而不是提供Cognito用户的用
浏览 18提问于2019-04-11得票数 4
1回答
我们有一个外部应用程序驻留在Amazon网络之外，它需要访问我们的SQS并在那里发送消息，为了让AWS资源识别来自该应用程序的请求，它需要用我们创建的IAM角色的凭据来签署它的请求，我想知道这个外部应用程序从我们那里检索临时凭据的最佳方式是什么？我曾经尝试过用亚马逊-科尼托来实现它，但是它看起来更适合像用户登录和登录用户界面这样的场景，有人有什么建议吗？提前谢谢。
浏览 3提问于2020-02-14得票数 0
回答已采纳
我正在使用直接上传blob文件到S3服务器，但我不想透露秘密访问密钥，因为在这个链接，请提供它可以做到这一点。
任何帮助都将不胜感激..谢谢!！
浏览 0提问于2015-08-06得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM活动推荐
腾讯云开发者
