igentuman Jun 21 2013 at 17:47

Привязка телефона к аккаунту и авторизация сканированием QR кода

2 min

11K

PHP*JavaScript*

Tutorial

Comments 12

maglink Jun 21 2013 at 18:08

А как определить, что qrcode расшифровал именно мобильный девайс?

igentuman Jun 21 2013 at 18:17

Да. На данный момент проверки нет, но ее сделать возможно.
На юзерагент полагаться не стоит, но можно попробовать «зацепится» на всякие специфичные мобильникам свойства при помощи яваскрипта. (поддержка смены ориентации и тд)
Собрать эту информацию воедино и решить — мобильник или нет.

UFO landed and left these words here

mcrey Jun 21 2013 at 18:45

В веб-клиенте приват24 что-то похожее используется.

JohnnyDrama Jun 21 2013 at 18:48

есть уже в интернет-банке Приват24 система авторизации по QR-коду. Сессия в мобильном девайсе сохраняется вечно, потом если нужно зайти на веб — сканируешь QR код и никаких заморочек с пасвордом

igentuman Jun 21 2013 at 18:52

Я из Беларуси и с Приват24 не знаком. И ни разу не видел применения таких механизмов на продакшене.
Ну а то что кто-то этим уже пользуется это только хороший знак.
Интересно, а если распознать их QR код и перейти по ссылке не на мобилке, а в другой вкладке браузера. Авторизует ли?

JohnnyDrama Jun 21 2013 at 18:54

точнее сессия не вечная, а пока активна сессия в мобильном приложении

igentuman Jun 21 2013 at 19:02

Именно так на данный момент работает мой скрипт. Пока в телефоне жива кука, можно логиниться. Если кука умерла, надо заново привязываться.

Я так понял, для входа в приват24 необходимо сканировать код их приложением. Что безусловно безопаснее, чем мой способ. Но для моего примера, достаточно лишь телефона и любого сканера. Не так безопасно, но практично.

diseaz Jun 22 2013 at 00:10

Долговременной куки на устройстве достаточно. Куку можно время от времени обновлять для пущей долговечности. Информация об устройстве не добавляет ровным счетом ничего.
Или я что-то не так понял?

dobeer Jun 24 2013 at 07:47

Лучше тогда уж не в куки, а в localStorage хранить, она вечно хранится. Кстати хотел узнать а как localStorage очистить в браузере?

igentuman Jun 24 2013 at 13:56

Можно и в localStorage, но доступа к нему сервер не имеет. Использовать только если по такому сценарию:
1. Переход по ссылке из QR кода.
2. Javascript читает localStorage и заодно можно выполнить какую-нибудь проверку — мобильный телефон или нет.
3. Телефон делает AJAX запрос с собраными данными.
4. Сервер обрабатывает данные и логинит или не логинит пользователя

Очистка localStorage произойдет с очисткой данных и кеша браузера. При очистке только cookies он будет жить.

igentuman Jun 25 2013 at 10:55

Обновил репозиторий и выложил скрипт на сервер, для желающих посмотреть сюда.