iOS / RoR - 服务器和客户端上的 oauth2 会话

Question

我有一个使用 Facebook SDK 进行身份验证的 iOS 应用。然后，我可以使用omniauth、devise 和omniauth-facebook-access-token（通过AFNetworking）在服务器上为该facebook 帐户创建一个用户。

现在我需要我的 iOS 应用程序的用户能够在 RoR 服务器上“进行会话”——我可以通过在每个请求的标头或 URL 中传递一些信息来进行验证，或者我可以使用 cookie。当应用发出 API 请求（通常为 JSON）时，我需要将这些请求置于已通过身份验证的用户的上下文中。

在这种情况下，在 iOS 应用上拥有经过身份验证的 RoR 用户的最佳做法是什么？

想到的一些选项：

• 在客户端维护一个 cookie
• 在标头或其他地方为每个 API 请求发送一条信息（access_token？user_id？）

我担心我希望能够在不重做此代码的情况下添加其他 oauth2 身份验证提供程序。

Answer 1

您需要一个令牌来验证用户身份，您还应该继续发送 csrf-token 以确保您的应用安全。看看这个question，看看csrf在它的答案中是如何处理的。