Vai al contenuto principale
L’Authentication è una novità: @didit-protocol/auth-react-native dipende dalla release. Le coordinate del pacchetto, le versioni e le firme delle funzioni richiamabili non sono confermate qui. Non installare un pacchetto ipotizzato né usare l’SDK di verifica dell’identità come SDK di Authentication.

​
Prepara l’applicazione

  1. Verifica che l’Authentication sia attivata per la tua applicazione Didit e copia dalla console la sua origine di accesso (https://<slug>.auth.didit.me, oppure <slug>.sandbox.auth.didit.me per la sandbox).
  2. Registra un URL di callback esatto, supportato dalla tua applicazione e dal runtime. Verifica la proprietà dei link delle app; non dare per scontato che vengano accettati schemi URL personalizzati arbitrari.
  3. Tieni separate la configurazione della sandbox e quella di produzione, inclusa la gestione dei callback e le credenziali memorizzate.
  4. Scegli la tua mappatura stabile delle persone prima di collegare la verifica o il monitoraggio.
Configura e testa i link di callback separatamente su iOS e Android. Il wrapper di Authentication è separato da @didit-protocol/sdk-react-native, che gestisce la verifica.

​
Implementa il flusso ospitato

Apri il browser di autenticazione nativo del sistema con l’URL {origin}/sign-in. Fornisci uno state nuovo e casuale, una challenge PKCE S256 e il tuo redirect_uri registrato. Conserva il verificatore (code verifier) nella tua app solo per quel tentativo. La guida rapida JavaScript mostra il protocollo sottostante; nel codice nativo usa la crittografia e la gestione degli URL della piattaforma, non i globali del browser. Al callback, verifica lo state, la durata della transazione e la destinazione del callback prima di scambiare il codice monouso chiamando l’endpoint token/. Usa il verificatore originale e l’URI di redirect esatto. Annullare o chiudere il browser non equivale a un accesso riuscito. Memorizza i refresh token nell’archivio protetto della piattaforma nativa; mai in un file di preferenze in chiaro, negli strumenti di analisi o nei log dei crash. Verifica la sessione corrente usando GET session/ con il Bearer token dell’utente finale. Serializza le operazioni di refresh, sostituisci insieme entrambi i token ed elimina lo stato specifico dell’utente dopo il logout. Vedi token e JWKS per il contratto della richiesta e il comportamento al riutilizzo del refresh token.

​
Anteprima della release dell’SDK nativo

I moduli nativi di Authentication sono previsti per offrire accesso, accesso alla sessione corrente, recupero dei token, logout e step-up, con segnali automatici del dispositivo. Le passkey native e l’archiviazione protetta dei token fanno parte di quella release. Le API del wrapper seguiranno i contratti di piattaforma pubblicati; non copiare argomenti del costruttore o firme dei metodi da un esempio di progettazione. Finché il modulo non sarà rilasciato, mantieni disattivato il suo adattatore oppure usa un’implementazione sottoposta a revisione del protocollo ospitato per la tua applicazione abilitata. Non pubblicizzare una guida rapida nativa di Authentication funzionante basandoti solo sull’installazione del pacchetto.

​
Collega verifica e monitoraggio

Il tuo backend ricava vendor_data dalla persona autenticata. Crea le sessioni di verifica o genera token di monitoraggio con ambito limitato per quella persona. Restituisci all’app solo la credenziale di sessione o il token con ambito limitato; la chiave API resta sul server. Usa l’SDK React Native per la verifica quando ti serve la Verifica dell’identità. Segui invio delle transazioni tramite SDK per il supporto al monitoraggio sulla tua piattaforma. Tratta accesso, verifica e decisioni sulle transazioni come elementi separati.

​
Verifica l’integrazione

Testa il ritorno a un’app avviata da zero, le transizioni in background e in primo piano, l’annullamento del browser, un callback non corrispondente, il replay del codice, la scadenza dei token, i refresh concorrenti, MFA, il logout e l’accesso come un altro utente. Testa la registrazione e l’accesso con passkey sui dispositivi supportati, una volta disponibile quella release. Un controllo eseguibile solo su dispositivo resta non verificato finché non viene eseguito sulla piattaforma di destinazione.
Ultima modifica il 7 novembre 2026