Come disconnettere un utente se non lo conosci?

[pnoeric (Eric)]

Ok, immagina questo semplice scenario:

1. L’utente A accede al mio sito e poi clicca su “Forum”. Viene reindirizzato a Discourse, che effettua una chiamata di ritorno al mio sito tramite SSO; l’utente viene autenticato e accede automaticamente a Discourse. Ottimo, funziona perfettamente.

2. Dopo un po’, l’utente A si allontana dal computer e la sua sessione scade automaticamente. Non clicca mai specificamente su “Esci” né nella mia applicazione né su Discourse.

3. L’utente B accede al mio sito sullo stesso dispositivo, clicca per andare ai forum e, poiché Discourse ha ancora l’utente A loggato, non richiede l’SSO dato che la sessione di Discourse è ancora attiva. Ora l’utente B è loggato su Discourse come l’utente A. :-\

Come posso gestire questo scenario?

Grazie,
Eric

[itsbhanusharma (Bhanu Sharma)]

È possibile collegare una chiamata API per disconnettere automaticamente gli utenti da Discourse:

Discourse API Docs

[pnoeric (Eric)]

Giusto, ma come posso farlo se l’utente si è “allontanato” dal computer e la sua sessione è scaduta? Forse è più una domanda su PHP (che è il linguaggio usato per il mio sito principale)…

[riking (Kane York)]

Questo trucco dovrebbe ancora funzionare:

Is there a "log_in" SSO API endpoint?

You can’t set cookies for another domain from the server, so that wouldn’t work Try giving the user a page with this on it: <embed src="https://discourse.example.com/session/sso" onload="window.location='/login_finished'" width=0 height=0> <div style="display:flex;justify-content:center;align-items:center"> <div class="loading-spinner"> <h1>Please wait, logging you into Discourse...</h1> <aside><a href="/login_finished">Click here if you don't want to wait</a></aside> <…

[itsbhanusharma (Bhanu Sharma)]

@riking Mi scuso, avevo una domanda curiosa.

Come gestiscono servizi come Auth0 il logout automatico per Discourse?

[Stephen]

@pnoeric

L’utente A si allontana dal computer e la sua sessione scade automaticamente. Non clicca mai specificamente su “Esci” nella mia app O su Discourse.

@pnoeric

Dopo un po’, l’utente A si allontana dal computer e la sua sessione scade automaticamente.

Potresti chiarire cosa intendi con questo? Qual è la durata della sessione per la tua app? Come gestisci la scadenza della sessione lì?

Discourse ha una impostazione massima età della sessione che, per impostazione predefinita, è impostata su 1440 ore, ovvero 60 giorni.

In breve: se non sai che l’utente al computer è cambiato, non c’è nulla che tu possa fare facilmente per prevenirlo. Potresti ridurre la durata della sessione o chiamare periodicamente dalla tua app per disconnettere gli utenti, ma se i tuoi utenti restano al computer per periodi più lunghi, si troveranno a dover ripetere il flusso di autenticazione.

Discourse può estendere qualsiasi flusso di accesso e sessione che stai attualmente utilizzando, ma senza ulteriori informazioni su quanto sopra è difficile individuare esattamente dove risieda il problema e quali opportunità esistano.

[pnoeric (Eric)]

Grazie per la tua risposta! Ho capito che questo problema riguarda in definitiva la gestione dell’utente sul sito principale.

Se l’utente si disconnette manualmente dal sito principale, devo chiamare Discourse (tramite API) per disconnetterlo anche lì.

E se l’utente non si disconnette ma la sua sessione scade, devo chiamare Discourse per disconnetterlo anche lì allo stesso momento.

E infine: quando un utente si disconnette da Discourse usando “disconnetti” lì, devo catturare quell’evento (tramite webhook) e disconnetterlo anche sul mio sito.

Che integrazione!