Hey all! My team and I have been looking into possible ways to integrate our [future] Discourse instance into our mobile application - Noom. Our iOS app is written in Objective-C with some Swift, and our Android application is written in Java with some Kotlin. We’ve been debating between full integration via API or web view as our goal is an SSO flow where our users can seamlessly transition from an in-app experience to our Discourse instance.
I’m currently waiting on our QA team to get back to me on which authentication protocols we currently use, but I was curious as to anyone else’s experience integrating Discourse into a mobile application with or without SSO, and what methods (if any) you found most useful throughout the process. I’m aware of Discourse’s compatibility with OAuth/2, although not aware of other potential protocols.
I’m going to update the documentation about delegated authentication soon, but I can give you some pointers right here.
First you need to open a browser session to discourse.site/user-api-key/new with the following parameters:
scopes: 'notifications,session_info,one_time_password',
client_id: YOUR_APP_CLIENT_ID,
nonce: GENERATED_NONCE,
auth_redirect: YOUR_APP_URL_SCHEME,
application_name: YOUR_APP_NAME,
push_url: PUSH_URL (if you are going to send PNs from Discourse to your app),
public_key: PUBLIC_KEY (generated in your app)
You can have a look at the implementation of our DiscourseMobile app for details on the above but the main idea is that your app will launch a browser screen to the URL above, asking the user to authenticate to the Discourse site and authorize your app access to it. Once user authorizes access, Discourse will redirect to YOUR_APP_URL_SCHEME?payload= with an encrypted payload. You’ll need to set up your app to decrypt the payload and store the authToken. In iOS, you should use ASWebAuthenticationSession | Apple Developer Documentation (I don’t know if there is an Android equivalent).
Your authToken can make API requests limited by the scopes requested initially, for a full list of scopes, please look under allow user api key scopes in site settings.
The one_time_password scope allows the authToken to make a request for a one-time-password. The endpoint for this is /user-api-key/otp with the parameters auth_redirect, application_name and public_key.
I will write a proper documentation shortly, but this should help you get started.
Ich werde mich in den nächsten Tagen genau damit befassen und über meinen Erfolg oder Misserfolg berichten. Falls jemand Anleitungen oder Tipps hat, würde ich mich sehr freuen, diese zu erhalten
Hey Penar, danke für die Anleitung. Ich bin in diesem Bereich noch kein Experte, habe bisher wenig mit Kryptografie oder solchen APIs gearbeitet und würde mich freuen, wenn du mir etwas Hilfe beim Kodieren einiger dieser Parameter geben könntest. Ich schaue mir deine DiscourseMobile-App an, habe aber noch nie JavaScript verwendet, daher habe ich ein paar Schwierigkeiten.
nonce und client_id – Sind das einfach zufällige 16- bzw. 32-Byte-Strings, die hex-kodiert sind?
public_key – Hast du Tipps, wie man diesen generiert? Ich versuche, die hier verfügbare Ressource zu nutzen, was mir einen SecKeyRef gibt. Soll ich diesen in NSData umwandeln und dann UTF-8-kodieren?
Hättest du zufällig Code-Snippets in Swift oder Objective-C? Ich werde das schon hinbekommen, aber da alles für mich neu ist, wäre jede kleine Hilfe sehr willkommen.
Hey Penar, danke für die Links, sehr hilfreich.
Ich mache Fortschritte, bin aber der Meinung, dass ich meinen öffentlichen Schlüssel falsch formatiere. Wie sieht das Format hier aus?
Danke! Ich habe gerade Fortschritte gemacht. Mein Problem lag in der Kodierung der Parameter. Ich habe den iOS-URLQueryAllowedCharacterSet verwendet, der “/” oder “+” nicht kodiert. Sobald ich ein Test-Ruby-Skript erstellt hatte, um die Zeile, bei der ich abstürzte, herauszufiltern, konnte ich rückwärts arbeiten. Danke!
Der Redirect scheint nicht richtig zu funktionieren, wenn ich die ASWebAuthenticationSession wie von Penar vorgeschlagen verwende. Die Aufrufe scheinen wie erwartet zu funktionieren: Ich erhalte das Dialogfeld „Authorize
Wenn du den Quellcode unserer App ansiehst, findest du Beispiele, wie die Dekodierung funktioniert. Es war eine ziemlich komplexe Menge an Code, um alles zum Laufen zu bringen.
Danke, ich habe es endlich zum Laufen gebracht. Ich werde später einige Code-Snippets posten, um anderen zu helfen, die dies nativ auf iOS umsetzen möchten. Danke für die Unterstützung.
Kann der auf diese Weise erstellte API-Token verwendet werden, um eine Anmeldung in einer Webview zu authentifizieren? Ich habe angenommen, dass die App das tut, aber ich arbeite noch an diesem Teil. Ich versuche, sowohl API-Zugriff als auch die Möglichkeit, über den normalen Web-Client Reface zu browsen, über eine einzige Anmeldung bereitzustellen.
