さまざまなサイトにインストールされたログインページのデータキャプチャを防ぐ方法

Question

集中フォームデータベースに対してユーザーを認証するためのログインフォーム（phpおよび.net）を開発しました。私はこのフォームを複数の顧客に渡し、それぞれのサイトにそれを含めました。正しい認証が行われると、フォームがインストールされている顧客に基づいて、ユーザーがリダイレクトされます。すべてがうまくいっていますが、私は心配しています。フォームをインストールした顧客がユーザーの資格情報を取得するように変更するにはどうしたらよいですか？顧客は、資格情報を格納するjavascript関数を挿入し、認証フローを続けることができます。言い換えれば、顧客がログイン/パスが何であるか分からないことを保証するためにどのような措置をとることができますか？ （フォームは各顧客のサイトに存在する必要があります。どこにでもホストすることは不可能です）

ありがとうございました。

Answer 1

あなたのスクリプトでユーザーをサイトにリダイレクトし、そこにログインさせることをお勧めします。ログインすると、顧客サイトのスクリプトインストールにリダイレクトされます。リダイレクトを戻すと、GETパラメータとしてトークンが追加されます。顧客サイトのスクリプトは、そのトークンを使用して、システムのWebページ/サービスを呼び出してユーザーの詳細を取得します。

これにより、顧客側のスクリプトは、パスワード、ユーザー、またはデータベースの種類を知らなくても済みます。