Inizia
Integrazione / SDK
Verifica degli utenti
Verifica aziendale
Monitoraggio delle transazioni
ChangelogMantieni la sessione sul tuo server
Usa il flusso ospitato descritto nella guida rapida JavaScript, con le seguenti modifiche per un’applicazione con rendering lato server. Le route che definisci sono route dell’applicazione che implementi tu, non endpoint dell’API di Didit.
Invia soltanto un riferimento casuale alla sessione dell’applicazione, in un cookie
Secure, HttpOnly, SameSite=Lax con percorso limitato. Usa una scadenza appropriata e ruota il riferimento dopo l’accesso. Non esporre il refresh token di Didit in props renderizzate, componenti client o storage del browser. Usa Cache-Control: no-store nelle risposte di token e callback.
Non affidarti soltanto a un controllo nel layout o nel middleware: autorizza a ogni accesso ai dati e a ogni mutazione. Proteggi le mutazioni autenticate tramite cookie contro CSRF. Consenti solo le destinazioni post-accesso configurate, mai un URL returnTo arbitrario proveniente dalla query string.
Anteprima della release del pacchetto
Il pacchetto previsto aggiunge middleware,auth() lato server, una route di callback e il supporto ai cookie HttpOnly per il rendering lato server. Il punto di ingresso /server del core è pensato per fornire verifyToken() con JWKS in cache. Attendi gli export della release verificata prima di usare questi simboli. Fino ad allora, verifica tu i token con una qualsiasi libreria JOSE, come descritto in token e JWKS.
Collega gli altri prodotti
Crea le sessioni di verifica e genera sul server i token di monitoraggio con scope limitato. Ricavavendor_data dalla mappatura validata della persona. Restituisci al browser solo l’URL della sessione di verifica o un token SDK di breve durata. Tieni DIDIT_API_KEY fuori dalle variabili d’ambiente pubbliche.
Per la verifica usa l’SDK di verifica web esistente e per il monitoraggio la guida all’invio delle transazioni. Nessuno dei due è un gestore di sessioni di Authentication.
Prima del rilascio, testa il replay della callback, lo state errato, lo state scaduto, le race condition nel refresh, le sessioni revocate, il rifiuto CSRF e la disconnessione. Consulta token e JWKS per il contratto di validazione.