Zum Hauptinhalt springen
Authentication ist neu: @didit-protocol/auth-react-native ist releaseabhängig. Distributionsangaben, Versionen und aufrufbare Signaturen sind hier nicht bestätigt. Installieren Sie kein geratenes Paket und verwenden Sie das Identity-Verification-SDK nicht als Authentication-SDK.

​
Ihre Anwendung vorbereiten

  1. Bestätigen Sie, dass Authentication für Ihre Didit-Anwendung aktiviert ist, und kopieren Sie den Sign-in-Origin (https://<slug>.auth.didit.me bzw. <slug>.sandbox.auth.didit.me für die Sandbox) aus der Konsole.
  2. Registrieren Sie eine exakte Callback-URL, die von Ihrer Anwendung und der Laufzeitumgebung unterstützt wird. Prüfen Sie den Eigentumsnachweis für App-Links; gehen Sie nicht davon aus, dass beliebige benutzerdefinierte URL-Schemata akzeptiert werden.
  3. Trennen Sie die Konfiguration für Sandbox und Live, einschließlich der Callback-Verarbeitung und der gespeicherten Zugangsdaten.
  4. Legen Sie fest, wie Sie Personen stabil zuordnen, bevor Sie Verifizierung oder Überwachung anbinden.
Konfigurieren und testen Sie Callback-Links für iOS und Android separat. Der Authentication-Wrapper ist vom @didit-protocol/sdk-react-native getrennt, das die Verifizierung übernimmt.

​
Den gehosteten Ablauf implementieren

Öffnen Sie den systemeigenen Browser für die Authentifizierung mit der URL {origin}/sign-in. Übergeben Sie einen neuen, zufälligen state, eine S256-PKCE-Challenge und Ihre registrierte redirect_uri. Bewahren Sie den Verifier nur für diesen Versuch in Ihrer App auf. Der JavaScript-Schnellstart zeigt das zugrunde liegende Protokoll; verwenden Sie in nativem Code die Kryptografie und die URL-Verarbeitung der Plattform statt Browser-Globals. Prüfen Sie beim Callback den state, die Gültigkeitsdauer der Transaktion und das Ziel des Callbacks, bevor Sie den einmalig verwendbaren Code an token/ gegen Tokens tauschen. Verwenden Sie den ursprünglichen Verifier und die exakt gleiche Redirect-URI. Das Abbrechen oder Schließen des Browsers ist keine erfolgreiche Anmeldung. Speichern Sie Refresh-Tokens im plattformgeschützten Speicher der nativen App; niemals in einer ungeschützten Einstellungsdatei, in Analysedaten oder in Absturzprotokollen. Prüfen Sie die aktuelle Sitzung mit GET session/ und dem Bearer-Token des Endbenutzers. Sorgen Sie dafür, dass Token-Erneuerungen serialisiert ausgeführt werden, ersetzen Sie beide Tokens gemeinsam und entfernen Sie benutzerspezifische Zustände nach der Abmeldung. Die Anforderungsdefinition und das Verhalten bei wiederverwendetem Refresh-Token finden Sie unter Tokens und JWKS.

​
Vorschau auf das native SDK

Die nativen Authentication-Module sollen Anmeldung, Zugriff auf die aktuelle Sitzung, Abruf von Tokens, Abmeldung und Step-up mit automatischen Gerätesignalen bereitstellen. Native Passkeys und geschützter Token-Speicher sind Teil dieser Veröffentlichung. Wrapper-APIs folgen ihren veröffentlichten Plattformverträgen; kopieren Sie keine geratenen Konstruktorargumente oder Methodensignaturen aus einem Designbeispiel. Bis das Modul veröffentlicht ist, lassen Sie dessen Adapter deaktiviert oder verwenden Sie eine geprüfte Umsetzung des gehosteten Protokolls für Ihre aktivierte Anwendung. Bewerben Sie keine funktionierende native Authentication-Schnellstartanleitung, die nur auf der Installation des Pakets beruht.

​
Verifizierung und Überwachung anbinden

Ihr Backend leitet vendor_data von der authentifizierten Person ab. Es erstellt Verifizierungssitzungen oder erzeugt für diese Person bereichsgebundene Überwachungs-Token. Geben Sie nur die Sitzungszugangsdaten oder das bereichsgebundene Token an Ihre App zurück; der API-Schlüssel bleibt auf dem Server. Verwenden Sie das React-Native-Verifizierungs-SDK, wenn Sie Identitätsverifizierung benötigen. Folgen Sie der Übermittlung von Transaktionen mit dem SDK, um die Überwachung auf Ihrer Plattform zu unterstützen. Behandeln Sie Anmeldung, Verifizierung und Transaktionsentscheidungen getrennt voneinander.

​
Die Integration prüfen

Testen Sie die Rückkehr in eine per Kaltstart neu gestartete App, den Wechsel zwischen Hintergrund und Vordergrund, den Abbruch im Browser, einen nicht übereinstimmenden Callback, die Wiederverwendung eines Codes, den Ablauf von Tokens, parallele Token-Erneuerung, MFA, die Abmeldung und die Anmeldung als anderer Benutzer. Testen Sie die Registrierung und Anmeldung mit Passkeys auf unterstützten Geräten, sobald diese Veröffentlichung verfügbar ist. Eine reine Geräteprüfung gilt als nicht verifiziert, solange sie nicht auf der Zielplattform durchgeführt wurde.
Zuletzt geändert am 7. November 2026