[virnik]

Potrzebuje zrobić potwierdzenie zamówienia w aplikacji na telefon. Z kodem podobnie jak blik.
Przebieg byłby taki:
na aplikacji www składa zamówienia -> generuje kod w aplikacji na telefonie (ważny minutę) -> wpisuje kod potwierdzenia zamówienia na www -> dostaje powiadomienie push na telefonie, potwierdza -> zamówienie na www złożone.

Usługi do obsługi www i mobilki .NET 5, mobilka Flutter.

Zastanawiam się, czy jest jakaś biblioteka, która taki przepływ ułatwi? Obsłuży generowanie kodu, jego długość życia itd.
Mogę to wszystko robić sam, ale po co jak na pewno ktoś już zrobił to lepiej.
Czego najlepiej użyć do autoryzacji użytkownika mobilka <-> usługi? OAuth, JWT Token?

#programowanie #programista15k #szukam #bibliotek

[zibizz1]

@virnik: nie słyszałem o gotowym rozwiązaniu. Każde korpo ma np swoją aplikacje do OTP/2FactorAuth i działają troszke inaczej. Ja bym zrobił tak #!$%@? numer zamówienia swoją funkcją(a może lepiej całe zamówienie), zamieniam na liczbę z leading zeros. Wysyłam to smsem lub pokazuje w aplikacji pierwsze 6 cyfr. Jak dostaje przez www to powtarzam procedure i porównuje. Funkcja #!$%@?ąca jest tylko w backendzie. Dlaczego tylko minuta?

[virnik]

@zibizz1: Ta minuta nie jest tak bardzo ważna, wyszło mi to ze "wzorowania" się na bliku. Albo chce zamówić i potwierdzi, albo nie chce i niech nie zaśmieca kolejki.

[leoha]

Ja bym zrobił tak #!$%@? numer zamówienia swoją funkcją(a może lepiej całe zamówienie), zamieniam na liczbę z leading zeros.

@zibizz1: bardzo zły pomysl. Kod przy 2FF/OTP powinien być losowy. Niec rozumiem czemu chciałbyś uzalezniac wzrtosc tego kodu od zamówienia. Ktoś później "wycieknie" Ci źródła i już możesz ominąć cały system.

[zibizz1]

@leoha:
1. Bo nie trzeba tego nigdzie zapisywać, odczytywać. Nie wygląda na sprawę wielkiej wagi.
2. Jak masz źródła to losowy kod też jesteś w stanie ominąć. Albo ktoś ci"wycieknie" bazę danych i już możesz ominąć cały system.

[leoha]

1. Bo nie trzeba tego nigdzie zapisywać, odczytywać. Nie wygląda na sprawę wielkiej wagi.

@zibizz1: rany, mam madzieje ze nigdy nie bedziesz pracowac w poważnej firmie, to jest major security issue.

[leoha]

Jak masz źródła to losowy kod też jesteś w stanie ominąć.

@zibizz1: niby jak? Nie jest to mozliwe, nawet jak dostaniesz zrodla mojej aplikacji.

[leoha]

Albo ktoś ci"wycieknie" bazę danych i już możesz ominąć cały system.

@zibizz1: jak ci wycieknie baza to masz powazniejszy problem niz OTP

[sok_z_buraka]

Bo nie trzeba tego nigdzie zapisywać, odczytywać. Nie wygląda na sprawę wielkiej wagi.

@zibizz1: o #!$%@?, pochwal sie linkedinem, bede wiedzial kogo nigdy nie zatrudniac u siebie: https://en.wikipedia.org/wiki/Security_through_obscurity

[zibizz1]

@leoha: @sok_z_buraka: zgadzam się z wami. Zależy co się wrzucićl do tej funkcji #!$%@?, jeśli informacje która nie jest publicznie dostępna to nie widzę różnicy między standardowa apka co generuje kody co minutę.

@leoha: zależy jak ten losowy kod jest generowany, standardowo nie jest on bardzo losowy, znając kod dużo łatwiej przewidzieć losowość i jej podatność

@sok_z_buraka: spoko i tak nigdy nie będę pracował w Twojej branży.

[sok_z_buraka]

Zależy co się wrzucićl do tej funkcji #!$%@?

@zibizz1: nie zalezy, jesli jest to dana ktora #!$%@? ma klient