Совместно используемая веб-ссылка учетных данных

Добавление связанного права доменов

Для включения совместно использованных учетных данных в приложении добавьте com.apple.developer.associated-domains ключ к правам Вашего приложения. Можно добавить это право с помощью области возможностей цели (см. рисунок 1).

Включайте список всех доменов, с которыми Ваше приложение хочет совместно использовать учетные данные. Каждая запись использует следующий формат:

<service>:<fully qualified domain>[:port number]

Для совместно используемых веб-учетных данных всегда используйте webcredentials служба.

Рисунок 1Adding связанные домены для Вашего приложения

Добавление файла ассоциации сайта

Поместите названный файл JSON со знаком apple-app-site-association на веб-сайте, соответствующем один из доменов в связанном праве доменов Вашего приложения. URL файла должен соответствовать следующий формат:

https://<fully qualified domain>/apple-app-site-association

Содержание файла JSON должно содержать a webcredentials словарь с apps массив. apps списки массива идентификаторы приложений для всех приложений, которые могут получить доступ к совместно используемым учетным данным для этого сайта. Для примера см. Перечисление 1.

Файл должен удовлетворить следующие требования:

• Файл должен быть размещен на https:// сайт с допустимым сертификатом (например, Safari не должен выпускать сертификат, предупреждающий при просмотре сайта).

• Файл не должен использовать перенаправления.

• Файл должен иметь тип MIME application/pkcs7-mime.

• Файлом должен быть CMS, подписанный допустимым сертификатом TLS.

Можно подписать файл JSON с помощью команд Terminal, таких как показанные в Перечислении 2. echo команда помещает веб-учетные данные серверной стороны от Перечисления 2 в названный файл json.txt, удаление большей части пробела из текста для минимизации требуемой пропускной способности. Строка, начинающаяся cat команда читает файл и передает вывод по каналу к openssl команда, подписывающая файл с помощью сертификата и ключа для идентификационных данных, допустимых для example.com.

Вывод openssl команда является файлом JSON со знаком, что Вы ставите свой веб-сайт в apple-app-site-association URL, в этом примере https://example.com/apple-app-site-association.

Сертификат, используемый для подписания файла JSON, должен удовлетворить следующие требования:

• Сертификат должен быть допустимым сертификатом TLS для доменного имени. Например, сертификат должен иметь Общее название или Подчиненное Альтернативное Имя, соответствующее домен (example.com в примере).

• Сертификат не должен истекать.

• Цепочка сертификата сервера должна привести к корневому сертификату, выпущенному центром сертификации, которому доверяет iOS.

Некоторые, доверенные центры сертификации упоминаются ниже. Для полного списка центров сертификации, которым доверяет iOS, посмотрите http://support.apple.com/kb/ht5012.

• Symantec Corporation. www.verisign.com

• Go Daddy Group, Inc. www.godaddy.com

• DigiCert, Inc. www.digicert.com

• Comodo Group, Inc. www.comodo.com

• GlobalSign Ltd. www.globalsign.com

Проверка файла ассоциации сайта

Когда приложение установлено, iOS пытается связать его со всеми доменами, перечисленными в его связанном праве доменов. iOS выполняет следующие шаги:

1. Берет каждый домен от связанного элемента доменов.

2. Добавляет “/apple-app-site-association” до конца домена и загрузок содержание в получающемся URL.

3. Заверяет подпись файла JSON.

4. Удостоверяется, что файл JSON включает идентификатор приложения приложения.

Если все эти шаги успешно выполняются, приложение связано с доменом, и можно использовать SecAddSharedWebCredential и SecRequestSharedWebCredential получить доступ и изменить совместно используемые веб-учетные данные. После того, как приложение успешно связано с доменом, это остается связанным, пока приложение не удалено из устройства.

Много проблем могли бы заставить проверку перестать работать.

• Подпись JSON недопустима. Ассоциации отказывают.

• Файл JSON недопустим или не содержит идентификатор приложения. Ассоциации отказывают.

• Сервер возвращает код 300-499. Это включает перенаправления. Ассоциации отказывают.

• Сервер возвращает код 500-599. Система предполагает, что файл временно недоступен и попробовал еще раз. По умолчанию система пробует каждые 3 часа максимум за восемь попыток. Это также пробует каждый раз, когда приложение вызывает SecAddSharedWebCredential или SecRequestSharedWebCredential метод.

Совместное использование учетных данных

Существует широкий диапазон общих ситуаций, где можно хотеть использовать совместно использованные веб-учетные данные. Этот раздел покрывает четыре: вход в удаленный сервер, создание учетной записи пользователя в приложении, изменение пароля пользователя и удаление учетной записи пользователя.

Вход в удаленный сервер

Как правило, когда приложение должно войти в систему удаленной службы, Вы запускаете путем проверки на учетные данные пользователя в цепочке для ключей iOS. Если у Вас есть текущие учетные данные для пользователя, можно зарегистрировать их в непосредственно. В противном случае предложите пользователям их имя пользователя и пароль, и затем попытайтесь зарегистрировать их в. Вы также захотите сохранить их учетные данные после того, как вход в систему будет успешен. Этот поток операций показан на рисунке 2.

Поток операций входа в систему рисунка 2Basic

При использовании совместно используемых веб-учетных данных Вы добавляете два шага к этой процедуре. Как прежде, Вы запускаете путем проверки, сохранены ли учетные данные пользователя в цепочке для ключей. Если Вы не можете найти учетные данные пользователя, Вы проверяете на совместно используемые веб-учетные данные. Если Вы все еще не можете найти учетные данные, или если пользователь отказывается использовать совместно используемые учетные данные, необходимо предложить пользователю ее имя и пароль. Попытайтесь зарегистрировать пользователя в, и если вход в систему успешен, сохраните учетные данные и к цепочке для ключей и к совместно используемым веб-учетным данным. Это гарантирует, что у пользователя есть доступ к учетным данным в Safari, а также в Вашем приложении. Этот поток операций показан на рисунке 3.

Поток операций рисунка 3Login с совместно используемыми веб-учетными данными

Не используйте совместно используемые веб-учетные данные в качестве своей основной памяти для безопасных удостоверений пользователя. Вместо этого сохраните учетные данные пользователя в цепочке для ключей, и только используйте совместно используемые веб-учетные данные, когда Вы не сможете найти учетные данные входа в систему в цепочке для ключей.

Для чтения учетных данных пользователя из совместно используемых веб-учетных данных используйте SecRequestSharedWebCredential функционируйте как показано в Перечислении 3.

Перечисление 3Accessing совместно использовало веб-учетные данные

• SecRequestSharedWebCredential(NULL, NULL, ^(CFArrayRef credentials, CFErrorRef error) {
• if (error != NULL) {
• // If an error occurs, handle the error here.
• [self handleError:error];
• return;
• }
• BOOL success = NO;
• CFStringRef server = NULL;
• CFStringRef userName = NULL;
• CFStringRef password = NULL;
• // If credentials are found, use them.
• if (CFArrayGetCount(credentials) > 0) {
• // There will only ever be one credential dictionary
• CFDictionaryRef credentialDict =
• CFArrayGetValueAtIndex(credentials, 0);
• server = CFDictionaryGetValue(credentialDict, kSecAttrServer);
• userName = CFDictionaryGetValue(credentialDict, kSecAttrAccount);
• password = CFDictionaryGetValue(credentialDict, kSecSharedPassword);
• // Attempt to log in
• success = [self logIntoServer:server user:userName password:password];
• }
• if (!success) {
• [self promptForUserNameAndPassword];
• } else {
• [self saveCredentialsToKeychainForServer: server user:userName password:password];
• }
• });