Você já fez login em um site usando o Google, Facebook, LinkedIn ou mesmo o Github? Que tal fazer upload de arquivos para um site diretamente da sua nuvem, como sua conta do Google Drive?
Bem, ambos são exemplos de sites ou aplicativos que obtêm acesso às suas informações armazenadas em outros sites ou serviços. Mas como isso é feito sem comprometer a segurança de seus dados pessoais e você fornecer suas credenciais para um aplicativo de terceiros?
Veja o Facebook, por exemplo; O Facebook pode usar os contatos armazenados em sua conta do Google para encontrar seus amigos na plataforma. Para que o Facebook acesse seus contatos e encontre seus amigos, você precisa dar acesso à sua conta do Google.
Alguns anos atrás, isso era feito de uma maneira muito grosseira, onde você dava ao Facebook seu endereço de e-mail do Google e sua senha do Gmail, que ele usava para fazer login na sua conta do Google como você mesmo e acessar seus contatos. Muitos aplicativos, e não apenas o Facebook, implementaram a autorização para os dados do usuário armazenados em outros sites dessa maneira.
Com tantos aplicativos de terceiros implementando a autorização dessa maneira, os usuários estavam tendo dificuldades, pois precisavam comprometer sua segurança para acessar os serviços. Um desenvolvedor mal-intencionado pode facilmente usar indevidamente as credenciais dos usuários em detrimento dos usuários. Isso é o que exigiu o desenvolvimento do OAuth.
De acordo com a Internet Engineering Task Force (IETF), OAuth é uma estrutura de autorização que permite que aplicativos de terceiros obtenham acesso a um serviço em nome do proprietário do recurso. OAuth é o que permite aos usuários conceder acesso limitado a aplicativos de terceiros.
Isso permite que os aplicativos acessem seus recursos on-line, como seus perfis ou dados pessoais armazenados em outro aplicativo, sem precisar divulgar suas credenciais de login para o aplicativo de terceiros que está tentando acessar o recurso.
Isso geralmente é chamado de acesso delegado, em que os usuários concedem a aplicativos de terceiros acesso limitado a seus recursos hospedados em outro serviço sem compartilhar as credenciais de seus usuários.
OAuth 2.0 é a versão mais amplamente usada do protocolo OAuth e é um componente chave da autorização e autenticação da web.
OAuth é amplamente utilizado na autenticação de aplicativos móveis, protegendo APIs, permitindo Single Sign-on para vários aplicativos e acesso delegado para terceiros, além de permitir que os usuários gerenciem e controlem as permissões concedidas a aplicativos de terceiros.
últimas postagens
Benefícios do uso de plataformas OAuth de código aberto.
As plataformas OAuth de código aberto referem-se a implementações de código aberto do padrão OAuth. Considerando que os aplicativos são desenvolvidos usando uma variedade de linguagens e estruturas de programação, as plataformas OAuth fornecem bibliotecas e ferramentas que permitem aos desenvolvedores integrar facilmente a funcionalidade OAuth em seus aplicativos. Alguns dos benefícios do uso de plataformas OAuth de código aberto incluem:
Qualidade e transparência do código
As plataformas de código aberto permitem que os usuários acessem seu código. Isso é benéfico, pois muitos desenvolvedores com uma ampla gama de habilidades e experiências analisam o código e podem levantar problemas que podem notar com o código.
Isso ajuda a garantir que o código seja da mais alta qualidade, sem vulnerabilidades ou bugs. As empresas também podem passar pelo código para determinar o quão bem ele pode atender às suas necessidades antes de se comprometer a usar o produto.
Efetividade de custo
As soluções de software de código aberto são de uso gratuito e, portanto, podem ser uma maneira de as empresas economizarem nos custos que incorreriam ao optar por plataformas OAth proprietárias. Isso tem a vantagem de permitir que até empresas sem grandes orçamentos garantam que a segurança de seus usuários não seja comprometida.
Evite o bloqueio do fornecedor
Ao usar provedores OAuth de código aberto, você pode alternar facilmente entre diferentes provedores OAuth sem precisar redesenhar toda a arquitetura do aplicativo para corresponder a um novo fornecedor.
As soluções OAuth de código aberto seguem padrões amplamente aceitos, o que lhes permite garantir compatibilidade e interoperabilidade com outros sistemas. Isso facilita a alternância entre diferentes soluções de código aberto.
Suporte da comunidade
As soluções de código aberto geralmente são apoiadas por uma grande comunidade de desenvolvedores que trabalham para melhorá-las e fornecer atualizações para o software. Isso garante que o software não apenas funcione com muitas ferramentas usadas pelos desenvolvedores, mas também que os problemas com o software possam ser resolvidos mais rapidamente, pois provavelmente haverá alguém familiarizado com o software pronto para ajudar.
Principais critérios para avaliação de plataformas OAuth de código aberto
Alguns dos principais fatores a serem considerados ao avaliar uma plataforma OAuth de código aberto incluem:
Medidas de segurança e criptografia
É importante que a solução OAuth de código aberto que você usa tenha segurança sólida e medidas de criptografia em vigor.
Isso ocorre porque as plataformas lidam com dados confidenciais do usuário e acessam recursos. A plataforma deve suportar comunicação segura e também fornecer mecanismos para proteger os tokens de acesso.
Facilidade de integração e APIs amigáveis ao desenvolvedor
Como as plataformas OAuth são integradas aos aplicativos, é fundamental que a solução OAuth ofereça APIs, documentação e kits de desenvolvimento de software (SDK) claros e intuitivos que simplifiquem o processo de integração.
Os endpoints da plataforma também devem ser bem documentados com amostras de código e bibliotecas para estruturas e linguagens de programação populares.
Apoio à Comunidade e Desenvolvimento Ativo
Uma forte comunidade ativa de usuários e colaboradores para um recurso de código aberto indica um ambiente saudável em torno dos recursos. Nesse caso, significa que o OAuth está sendo aprimorado e usado continuamente.
Além disso, uma comunidade ativa pode fornecer recursos e suporte úteis que podem ajudar na sua compreensão e uso de uma solução OAuth de software livre.
Escalabilidade e desempenho
Os aplicativos geralmente têm uma base de usuários crescente à medida que mais pessoas são apresentadas ao aplicativo. Portanto, é importante que qualquer solução OAuth que você use suporte o dimensionamento à medida que sua base de usuários aumenta e também seja capaz de lidar com um grande número de solicitações simultâneas.
Opções de personalização e extensibilidade
Uma solução OAuth deve ser altamente personalizável para se adaptar aos diferentes requisitos e lógica de negócios em uma ampla gama de usuários. Simplificando, as empresas não deveriam ter que construir sua lógica em torno de uma plataforma OAuth.
Em vez disso, a solução OAuth deve ser personalizável e extensível o suficiente para permitir que seja implementada sem alterar a lógica de negócios. Isso pode ser alcançado permitindo a adição de fluxos de autenticação personalizados, declarações e atributos do usuário.
Com as considerações acima em mente, aqui estão algumas das melhores soluções OAuth de código aberto para usar em seu próximo projeto
SuperTokens
SuperTokens é um provedor de login de código aberto amplamente utilizado entre startups como HackeRank, Skoot e Food Market Hub e usado por engenheiros que trabalham em empresas como Google, Amazon e Meta, entre outras.
SuperTokens fornece componentes altamente personalizáveis, extensíveis e substituíveis que permitem aos usuários integrar facilmente a autenticação do usuário em seu aplicativo.
Os SuperTokens não são apenas fáceis e rápidos de integrar, mas também oferecem interfaces de usuário pré-construídas para páginas de inscrição e funcionalidade de autenticação de usuário pronta para uso. Os usuários também têm a liberdade de criar seu próprio login rapidamente usando as funções auxiliares que acompanham os SuperTokens.
Usando SuperTokens, você implementa login com senha de e-mail, login social usando OAuth e login sem senha para aplicativos. Você também pode usar login social e login de senha de e-mail na mesma tela de login para seus aplicativos.
Cerbos
O Cerbos é uma plataforma de autorização escalável, independente de linguagem e de código aberto, reconhecida pela Business Wire como a melhor em segurança de API em 2022.
O Cerbos, que é uma camada de autorização para implementar funções e permissões, funciona com vários provedores de identidade, incluindo Auth0, Magic, WorkOS, Okta e FusionAuth, entre outros.
O Cerbos permite que você gerencie centralmente a lógica de autorização em todos os seus aplicativos e faça alterações instantaneamente em como seus aplicativos lidam com autorização e autenticação.
Além disso, o Cerbos oferece definições e atributos de função com reconhecimento de contexto e expõe uma API independente de linguagem que pode ser usada com qualquer pilha de tecnologia.
Para completar, o Cerbos é independente e auto-hospedado e pode ser hospedado em plataformas sem servidor, em qualquer nuvem pública ou privada ou até mesmo em um data center de propriedade privada.
Passaporte
O Passport é um middleware de autenticação muito popular para a estrutura Node.js e autentica solicitações recebidas em aplicativos criados com um back-end Node.js.
A autenticação é feita usando plugins conhecidos como estratégias. O Passport fornece aos desenvolvedores ganchos para controlar as ações a serem executadas quando a autenticação falha ou é bem-sucedida.
O Passport oferece mais de 500 estratégias de autenticação e permite logon único com OpenID e OAuth. Ele também oferece suporte a sessões persistentes, escopo dinâmico e permissões, implementação de estratégias personalizadas e fácil manipulação de sucesso e falha durante a autenticação.
Além disso, o Passport.js não monta rotas em aplicativos Node.js e não assume nenhum esquema de banco de dados específico e, portanto, permite que o desenvolvedor tome todas as decisões no nível do aplicativo.
Auth.js
Auth.js é uma solução de autenticação de código aberto que funciona com uma variedade de estruturas de front-end, incluindo Next.js, SvelteKit e SolidStart, entre outros.
O Auth.js foi projetado para funcionar com várias versões do OAuth. Ele suporta autenticação sem estado com qualquer back-end, autenticação sem e-mail/senha e JSON Web Tokens junto com sessões de banco de dados.
Embora o Auth.js tenha sido projetado para arquiteturas sem servidor, ele pode ser executado em qualquer lugar, incluindo AWS Lambda, Docker e Heroku, entre outros.
O Auth.js também garante aos usuários o controle de seus dados e pode funcionar sem um banco de dados, embora tenha suporte integrado para bancos de dados populares, como MySQL, Postgres, MongoDB, SQLite, MariaDB e Microsoft SQL Server.
O Auth.js usa tokens de falsificação de solicitação entre sites (CSRF) em rotas POST, criptografa tokens da Web JSON e gera automaticamente assinatura simétrica e chaves de criptografia para conveniência do desenvolvedor.
Keycloak
Keycloak é uma solução de gerenciamento de identidade e acesso de código aberto muito popular. Keycloak é uma solução baseada em protocolos padrão e suporta OAuth 2.0, Security Assertion Markup Language (SAML) e OpenID Connect.
Por ser uma solução de código aberto, o Keycloak é muito fácil de integrar e vem com recursos como o Single-Sign-On, que permite aos usuários fazer login em vários aplicativos por meio de um único login no Keycloak.
Isso também beneficia os desenvolvedores, pois não precisam ser eles que lidam com autenticação e armazenamento de usuários e criam formulários de login em seus aplicativos.
Uma área em que o KeyCloak se destaca é a facilidade de integração com aplicativos. O KeyCloak permite que você adicione facilmente a capacidade de fazer login em aplicativos usando redes sociais sem precisar alterar seu aplicativo ou código.
Tudo isso é feito por meio de um console de administração onde você também pode configurar recursos adicionais do Keycloak, como federação de usuários e intermediação de identidade. Por meio do console administrativo, você também pode criar e gerenciar aplicativos e serviços e ajustar as políticas de autorização.
Apereo CAS
O Apereo CAS é uma solução de logon único e provedor de identidade de código aberto. O CAS oferece suporte a uma ampla variedade de protocolos de autenticação, incluindo OAuth 2.0, SAML, OpenID, REST e WS-Federation, entre outros.
O CAS vem com suporte integrado para gerenciamento de senhas, notificações, termos de uso e representação.
O CAS também suporta autenticação conectável, autenticação delegada a provedores de identidade externos, como Facebook, Twitter e OpenID Connect, e autenticação multifatorial por meio de provedores como Google Authenticator, Authy, YubiKey, Acceptto e Inwebo, entre outros.
Para usar o CAS, é melhor usá-lo com suas plataformas de cliente oficialmente suportadas, que incluem Java, .NET, Apache e PHP.
Ory Kratos
Ory Kratos é um sistema de gerenciamento de usuários robusto e rico em recursos que é fornecido para a nuvem. Embora o Ory Kratos seja escrito em Go, ele vem com SDKs para todas as linguagens de programação, juntamente com login, registro e gerenciamento de perfil personalizáveis.
Além disso, Ory Kratos pode funcionar com qualquer estrutura de interface do usuário e requer código mínimo para configurá-lo.
Alguns recursos notáveis que acompanham o Ory Kratos incluem autenticação multifator com uma variedade de provedores, login e registro de autoatendimento, login de rede social, verificação e recuperação de conta e gerenciamento de usuários.
O gerenciamento de usuários permite a criação, atualização e exclusão de identidades e seus dados em sua base de usuários. Por fim, Ory Kratos permite o uso de modelos de identidade personalizáveis, onde você pode criar suas próprias interfaces e definir campos personalizados como nomes, endereços ou animal de estimação favorito.
Logto
De acordo com sua documentação, o Logto é uma alternativa de código aberto econômica ao Auth0, que é uma solução proprietária de autenticação e autorização. A Logto oferece todos os recursos necessários para autenticação e autorização seguras a preços mais acessíveis.
O Logto vem com uma API de gerenciamento pronta para uso que pode ser usada como um provedor de autenticação. Ele também possui SDKs que permitem a integração fácil e rápida do Logto com qualquer aplicativo que você esteja criando.
O OpenID Connect (OIDC), que estende o protocolo de autorização OAuth 2.0, é usado para autenticação, enquanto o controle de acesso baseado em função (RBAC) é usado para autorização.
Com o LogTo, seus aplicativos podem implementar login social sem senha e lidar com usuários que esqueceram suas credenciais de login. Para tornar o desenvolvimento ainda mais fácil e rápido, o LogTo oferece belos componentes de interface do usuário pré-construídos com CSS personalizável.
Os usuários também obtêm acesso à sua plataforma de nuvem, onde podem personalizar, integrar e visualizar a autenticação que estão implementando em seu aplicativo.
Conclusão
Ao implementar autenticação e autorização em seu aplicativo, há uma variedade de soluções de código aberto que economizarão muito dinheiro para você e sua empresa. Considere qualquer uma das soluções compartilhadas no artigo para proteger seus negócios e os dados críticos do usuário.
Você também pode explorar algumas das melhores plataformas de autenticação de usuário.