Mulai
Integrasi / SDK
Verifikasi Pengguna
Verifikasi Bisnis
Pemantauan Transaksi
Log PerubahanSimpan sesi di server Anda
Gunakan alur yang di-hosting yang dijelaskan dalam panduan cepat JavaScript, dengan perubahan berikut untuk aplikasi yang dirender di server. Nama rute Anda adalah rute aplikasi yang Anda implementasikan sendiri, bukan endpoint API Didit.
Kirim hanya referensi sesi aplikasi yang acak dalam cookie
Secure, HttpOnly, SameSite=Lax dengan path yang dibatasi. Gunakan masa berlaku yang sesuai dan rotasi referensi setelah masuk. Jangan tampilkan refresh token Didit dalam props yang dirender, komponen klien, atau penyimpanan browser. Gunakan Cache-Control: no-store pada respons token dan callback.
Jangan hanya mengandalkan pemeriksaan layout atau middleware: lakukan otorisasi di setiap akses data dan mutasi. Lindungi mutasi yang diautentikasi dengan cookie dari CSRF. Izinkan hanya tujuan pasca-masuk yang sudah dikonfigurasi, jangan pernah URL returnTo sembarang dari query string.
Pratinjau rilis paket
Paket yang direncanakan menambahkan middleware,auth() sisi server, rute callback, dan dukungan cookie HttpOnly untuk rendering sisi server. Entri /server inti dimaksudkan untuk menyediakan verifyToken() dengan JWKS yang di-cache. Tunggu ekspor dari rilis yang telah diverifikasi sebelum menggunakan simbol-simbol ini. Sampai saat itu, verifikasi token sendiri dengan pustaka JOSE apa pun, sebagaimana dijelaskan dalam token dan JWKS.
Hubungkan produk lainnya
Buat sesi verifikasi dan terbitkan token pemantauan yang dibatasi di server. Turunkanvendor_data dari pemetaan orang yang sudah divalidasi. Kembalikan ke browser hanya URL sesi verifikasi atau token SDK berumur pendek. Jangan letakkan DIDIT_API_KEY dalam variabel lingkungan publik.
Gunakan SDK verifikasi web yang sudah ada untuk verifikasi, dan panduan pengiriman transaksi untuk pemantauan. Keduanya bukan pengelola sesi Autentikasi.
Uji pemutaran ulang callback, state yang salah, state yang kedaluwarsa, kondisi race saat refresh, sesi yang dicabut, penolakan CSRF, dan keluar sebelum rilis. Lihat token dan JWKS untuk kontrak validasi.