Zum Hauptinhalt springen
Authentication ist neu: didit_auth ist releaseabhängig. Distributionskoordinaten, Versionen und aufrufbare Signaturen sind hier nicht bestätigt. Installieren Sie kein geratenes Paket und verwenden Sie das Identitätsverifizierungs-SDK nicht als Authentifizierungs-SDK.

​
Anwendung vorbereiten

  1. Vergewissern Sie sich, dass Authentication für Ihre Didit-Anwendung aktiviert ist, und kopieren Sie den Anmelde-Origin (https://<slug>.auth.didit.me, bzw. <slug>.sandbox.auth.didit.me für Sandbox) aus der Konsole.
  2. Registrieren Sie eine exakte Callback-URL, die von Ihrer Anwendung und der Laufzeitumgebung unterstützt wird. Validieren Sie die Inhaberschaft der App-Links. Gehen Sie nicht davon aus, dass beliebige benutzerdefinierte URL-Schemata akzeptiert werden.
  3. Halten Sie Sandbox- und Live-Konfiguration getrennt, einschließlich der Callback-Verarbeitung und der gespeicherten Zugangsdaten.
  4. Legen Sie Ihre stabile Personenzuordnung fest, bevor Sie Verifizierung oder Überwachung anbinden.
Konfigurieren und testen Sie Callback-Links für iOS und Android getrennt. Der Authentication-Wrapper ist vom didit_sdk getrennt, das die Verifizierung übernimmt.

​
Gehosteten Ablauf implementieren

Öffnen Sie den nativen Systembrowser für die Anmeldung mit der URL {origin}/sign-in. Übergeben Sie einen neuen, zufälligen state, eine S256-PKCE-Challenge und Ihre registrierte redirect_uri. Bewahren Sie den Verifier in Ihrer App nur für diesen Versuch auf. Der JavaScript-Quickstart zeigt das zugrunde liegende Protokoll. Verwenden Sie im nativen Code plattformeigene Kryptografie und URL-Verarbeitung statt Browser-Globals. Beim Callback prüfen Sie den state, die Gültigkeitsdauer der Transaktion und das Ziel des Callbacks, bevor Sie den einmal gültigen Code am token/-Endpunkt gegen Token tauschen. Verwenden Sie den ursprünglichen Verifier und die exakte Redirect-URI. Abbrechen oder Schließen des Browsers ist keine erfolgreiche Anmeldung. Speichern Sie Refresh-Token im plattformgeschützten Speicher der nativen App, niemals in einer einfachen Einstellungsdatei, in Analytics oder in Crash-Logs. Prüfen Sie die aktuelle Sitzung mit GET session/ und dem Bearer-Token des Endbenutzers. Serialisieren Sie die Token-Aktualisierung, ersetzen Sie beide Token gemeinsam und entfernen Sie benutzerspezifische Zustände nach der Abmeldung. Den Request-Vertrag und das Verhalten bei der Wiederverwendung von Refresh-Tokens finden Sie unter Token und JWKS.

​
Native SDK-Vorschau

Die nativen Authentication-Module sollen Anmeldung, Zugriff auf die aktuelle Sitzung, Token-Abruf, Abmeldung und Step-up mit automatisch erfassten Gerätesignalen bereitstellen. Native Passkeys und geschützter Token-Speicher sind Teil dieser Version. Wrapper-APIs folgen ihren veröffentlichten Plattformverträgen. Kopieren Sie keine geratenen Konstruktorargumente oder Methodensignaturen aus einem Designbeispiel. Bis das Modul veröffentlicht ist, lassen Sie dessen Adapter deaktiviert oder verwenden Sie eine geprüfte Implementierung des gehosteten Protokolls für Ihre aktivierte Anwendung. Werben Sie nicht mit einem funktionierenden nativen Authentication-Quickstart, der allein auf der Paketinstallation beruht.

​
Verifizierung und Überwachung anbinden

Ihr Backend leitet vendor_data von der authentifizierten Person ab. Es erstellt Verifizierungssitzungen oder stellt für diese Person beschränkte Überwachungstoken aus. Geben Sie nur den Sitzungsnachweis oder das bereichsgebundene Token an Ihre App zurück. Der API-Schlüssel bleibt auf dem Server. Verwenden Sie das Flutter-Verifizierungs-SDK, wenn Sie die Identitätsverifizierung benötigen. Folgen Sie SDK-Transaktionsübermittlung für die Überwachungsunterstützung auf Ihrer Plattform. Behandeln Sie Anmeldung, Verifizierung und Transaktionsentscheidungen getrennt voneinander.

​
Integration prüfen

Testen Sie die Rückkehr in eine kalt gestartete App, Übergänge in den Hintergrund und in den Vordergrund, den Abbruch im Browser, einen nicht passenden Callback, die Wiederverwendung eines Codes, den Ablauf von Token, paralleles Erneuern, MFA, die Abmeldung und die Anmeldung als anderer Benutzer. Testen Sie die Passkey-Registrierung und -Anmeldung auf unterstützten Geräten, sobald diese Version verfügbar ist. Eine ausschließlich auf dem Gerät durchgeführte Prüfung gilt als unbestätigt, bis sie auf der Zielplattform durchgeführt wurde.
Zuletzt geändert am 7. November 2026