Как выйти из системы, если пользователь не известен?

[pnoeric (Eric)]

Хорошо, представим простую ситуацию:

1. Пользователь А входит на мой сайт, а затем нажимает «Форумы». Он перенаправляется в Discourse, который обращается к моему сайту через SSO, и пользователь аутентифицируется и автоматически входит в Discourse. Отлично, всё работает идеально.

2. Через некоторое время пользователь А уходит от компьютера, и его сессия истекает автоматически. Он никогда специально не нажимает «Выйти» ни в моём приложении, ни в Discourse.

3. Пользователь Б входит на мой сайт на том же устройстве, нажимает перейти на форумы, и поскольку в Discourse пользователь А всё ещё считается вошедшим, запрос SSO не выполняется, так как сессия в Discourse активна. Теперь пользователь Б вошёл в Discourse как пользователь А. :-\

Как можно обработать такую ситуацию?

Спасибо,
Эрик

[itsbhanusharma (Bhanu Sharma)]

Вы можете подключить API-вызов для автоматического выхода из Discourse:

Discourse API Docs

[pnoeric (Eric)]

Верно, но как это сделать, если пользователь «отошёл» от компьютера и его сессия истекла? Возможно, это скорее вопрос по PHP (на чём написан мой основной сайт)…

[riking (Kane York)]

Этот трюк всё ещё должен работать:

Is there a "log_in" SSO API endpoint?

You can’t set cookies for another domain from the server, so that wouldn’t work Try giving the user a page with this on it: <embed src="https://discourse.example.com/session/sso" onload="window.location='/login_finished'" width=0 height=0> <div style="display:flex;justify-content:center;align-items:center"> <div class="loading-spinner"> <h1>Please wait, logging you into Discourse...</h1> <aside><a href="/login_finished">Click here if you don't want to wait</a></aside> <…

[itsbhanusharma (Bhanu Sharma)]

@riking Извините, у меня возник один любопытный вопрос.

Как такие сервисы, как Auth0, обрабатывают автоматический выход из системы для Discourse?

[Stephen]

@pnoeric

Пользователь А отходит от компьютера, и его сеанс автоматически истекает. Он никогда специально не нажимает «Выйти» ни в моём приложении, ни в Discourse.

@pnoeric

Спустя некоторое время пользователь А отходит от компьютера, и его сеанс автоматически истекает.

Не могли бы вы уточнить, что вы имеете в виду? Какова продолжительность сеанса в вашем приложении? Как вы обрабатываете истечение сеанса там?

В Discourse есть настройка maximum session age (максимальный возраст сеанса), которая по умолчанию установлена на 1440 часов, то есть 60 дней.

Если коротко: если вы не знаете, что за компьютером сменился пользователь, вы не сможете легко предотвратить это. Вы можете уменьшить продолжительность сеанса или периодически вызывать из своего приложения функцию выхода пользователей, но тогда, если ваши пользователи находятся за компьютером в течение более длительных периодов времени, им придётся снова проходить процесс аутентификации.

Discourse может расширить используемый вами текущий процесс входа и управления сеансами, но без дополнительной информации по вышеуказанным вопросам трудно точно определить, где именно кроется проблема и какие возможности существуют.

[pnoeric (Eric)]

Спасибо за ваш ответ! Я понял, что эта проблема в конечном итоге сводится к управлению пользователями на главном сайте.

Если пользователь вручную выходит из системы на главном сайте, мне нужно вызвать Discourse (через API), чтобы также выйти из системы там.

А если пользователь не выходит, но его сеанс истекает, мне нужно вызвать Discourse, чтобы выйти из системы там в то же время.

И наконец: когда пользователь выходит из Discourse, используя «Выйти» там, мне нужно перехватить это событие (через веб-хук) и выйти из системы на моем сайте тоже.

Ура, интеграция!