Аутентификация — проверка подлинности идентификатора, который указан пользователем. Положительный результат аутентификации — авторизация пользователя, то есть предоставление пользователю прав доступа к ресурсам, которые доступны для выполнения его задач.
Подробнее об аутентификации читайте в Википедии.
Все внешние запросы к веб-сервисам Creatio необходимо аутентифицировать.
Виды аутентификации
Виды аутентификации, которые поддерживаются в Creatio:
- Анонимная аутентификация (Anonymous).
- Базовая аутентификация (Basic-аутентификация).
- Аутентификация на основе cookies (Forms-аутентификация).
- Аутентификация на основе открытого протокола авторизации OAuth 2.0. Подробнее читайте в статье Настроить авторизацию интегрированных приложений по протоколу OAuth 2.0.
Для интеграции с Creatio мы рекомендуем использовать Forms-аутентификацию, которая реализована с помощью веб-сервиса AuthService.svc. Cookie, полученные в ответ от веб-сервиса AuthService.svc, необходимо использовать в следующих запросах к Creatio.
Примеры использования аутентификационного cookie описаны в статьях OData и DataService.
Отключить защиту от CSRF-атак
CSRF (Сross Site Request Forgery, межсайтовая подделка запроса) — вид атак на посетителей веб-сайтов. CSRF-атаки используют недостатки протокола HTTP. По умолчанию защита включена, но вы можете ее отключить.
Виды сервисов, для которых вы можете отключить защиту от CSRF-атак:
- Все сервисы приложения.
- Один сервис приложения.
- Несколько методов разных сервисов приложения.
Отключить защиту от CSRF-атак для всех сервисов
- Откройте файл Web.Config, который находится в корневом каталоге приложения.
-
Установите значение false для настройки UseCsrfToken.
- Выполните аналогичные настройки в файле ...\Terrasoft.WebApp\Web.Config.
Отключить защиту от CSRF-атак для одного сервиса
- Откройте файл Web.Config, который находится в корневом каталоге приложения.
-
Задайте имя сервиса в настройке DisableCsrfTokenValidationForPaths.
Отключить защиту от CSRF-атак для нескольких методов разных сервисов
- Откройте файл Web.Config, который находится в корневом каталоге приложения.
-
Перечислите имена методов в настройке DisableCsrfTokenValidationForPaths.
Строка запроса
Метод запроса на аутентификацию. Неизменяемая часть запроса.
Адрес приложения Creatio.
Метод веб-сервиса аутентификации, который необходимо вызвать для выполнения аутентификации. Неизменяемая часть запроса.
Заголовки запроса
Кодировка и тип ресурса, который передается в теле запроса.
Заголовок ForceUseSession отвечает за принудительное использование уже существующей сессии.
Код состояния ответа
Код состояния ответа на запрос.
200 OK | Запрос успешно завершен и значение ресурса не равно нулю. В этом случае тело ответа должно содержать код состояния аутентификации. Если содержит значение 0, то аутентификация успешна. В случае неудачной аутентификации код состояния будет равен 1 и тело запроса будет содержать сообщение о причине неудачной аутентификации. |
---|---|
403 Forbidden | Сервер не может предоставить доступ к ресурсу, указанному в запросе (например, в случае ошибки в имени метода). Дополнительная информация может содержаться в теле ответа. |
Заголовки ответа
Ответ на POST запрос содержит аутентификационные cookie, которые необходимо сохранить на стороне клиента или на клиентском компьютере, чтобы использовать их в дальнейших запросах веб-службы Creatio.