Gehostete Anmeldung
Fóir hostet die Seite, auf der sich Ihre Nutzer anmelden. Sie trägt den Namen, das Logo und die Farbe Ihres Projekts, und Sie können sie von einer von Ihnen verifizierten Login-Domain ausliefern.
Was die Seite bietet
Die Seite zeigt für jeden konfigurierten Identity-Provider eine Schaltfläche, einen Passwort-Tab und einen E-Mail-Code-Tab. Die Passwortanmeldung ist standardmäßig aktiv. Der sechsstellige per E-Mail gesendete Code bleibt aus, bis Sie customerOtpEnabled in den Einstellungen des Projekts einschalten. (Die Docs nennen Ihre Nutzer „Customers“.)
Jede Anwendung, die Sie für die Anmeldung registrieren (in den Docs eine „Relying Party“), kann eine Methode oder einen Anbieter für sich ausblenden. Sie kann einschränken, was das Projekt erlaubt, und nie erweitern.
Ihre Domain und Ihr Branding
Die Seite wird von auth.foir.io ausgeliefert, bis Sie in der Anmelde-App eine Login-Domain aufführen und sie mit zwei DNS-Einträgen verifizieren. Name, Logo und Primärfarbe gehören zum Projekt, sodass jede App in einem Projekt dasselbe Erscheinungsbild teilt. Eine Organisation kann sie überschreiben, und die Seite folgt.
Neue Konten und Passwort-Resets
Auf der gehosteten Seite erhält eine neue Person ein Konto, indem sie einen Code eingibt, der an eine Adresse gesendet wurde, die noch niemand verwendet hat, oder durch eine erste Anmeldung über einen Anbieter. Die Registrierung mit einem Passwort erfolgt über die Mutation customerRegister und das Zurücksetzen über ein Paar von Mutationen, alle aus Ihrer eigenen Oberfläche aufgerufen.
Eine Projekteinstellung entscheidet, wer sich registrieren darf: jeder, nur eingeladene Personen, eine Warteliste oder niemand. Bestehende Nutzer können sich immer anmelden.
Tokens und Sitzungen
Eine Anmeldung ist ein OAuth-2.1-Authorization-Code-Flow mit PKCE. Sie gibt ein Zugriffstoken mit 15 Minuten Laufzeit und ein Refresh-Token mit 30 Tagen zurück, das bei jeder Nutzung rotiert. Wird ein bereits rotiertes Token erneut verwendet, widerruft das die gesamte Familie.
Auf einer verifizierten Login-Domain, die mit Ihrer App eine registrierbare Domain teilt, setzt Fóir ein Sitzungs-Cookie, das Ihre App gegen Zugriffstokens eintauscht, sodass im Browser kein Token gespeichert wird. Diese Sitzung endet nach 30 Tagen Inaktivität oder 90 Tagen ab der ersten Anmeldung, und beides lässt sich pro Projekt festlegen.
Details nachlesen
Der Leitfaden zu Login mit Fóir behandelt das Registrieren einer Anmelde-App, die zwei Mutationen, die eine Anmeldung starten und beenden, und das Erneuern von Tokens.