Authentication Token, dove sbaglio?

[Domenico Costa, modificado hace 7 años.]

Ciao a tutti,

ho implementato l'autentication Token seguendo la guida di liferay https://web.liferay.com/it/community/wiki/-/wiki/Main/Authentication+Token

premetto che sto utilizzando liferay 6.2 Enterprise.

Nel portal-ext.properties ho inserito :

auth.token.check.enabled=true

E poi ottengo il token da inserire nella url tramite:

String token = AuthTokenUtil.getToken(request);

In pratica io devo creare una url che eseguo con httpclient in modo da ottenere la response della portlet con i dati dell'utente autenticato.

Attacco a questa url il parametro p_auth con il token che ho letto dalla funzione. Eseguendo questa url nessun risultato, mi porta alla pagian di login.

Al che ho inserito nel portlet.xml questo:

<init-param>
	<name>check-auth-token</name>
	<value>true</value>
</init-param>

Non funzionando ho impostato anche il parametro a false, ma nessun risultato.
Vedendo che non funziona ho inserito anche questi due parametri:

auth.token.ignore.actions=
auth.token.ignore.portlets=

Ma niente da fare.

Per la disperazione ho inserito anche :

auth.token.impl=com.liferay.portal.security.auth.SessionAuthToken

Ma questa funzione ... funziona??
Spero che qualcuno mi sappia aiutare.

Grazie

[Daniele Baggio, modificado hace 7 años.]

ciao Domenico,

vorrei capire meglio il contesto del problema.
Che scopo vuoi realizzare usando il p_auth? Quando dici che non funziona.. cosa significa? cosa vorresti che succedesse?

[Domenico Costa, modificado hace 7 años.]

Io genero un url con il token inserito... e se chiamo questa url con httpclient mi vede autenticato.
Un po come se copio la url in un altro browser, mi sono spiegato?

Cosi non funziona, mi porta sempre alla pagina di login.

[Daniele Baggio, modificado hace 7 años.]

ok, allora è come mi pareva.

L'uso del token p_auth non è quello di autenticare e riconoscere l'utenza di una chiamata.
L'uso del p_auth ha lo scopo di validare una particolare transazione applicativa, in modo da evitare che una transazione non possa essere eseguita più volte a scopo dannoso (un pagamento per esempio).
Serve a questo: http://stackoverflow.com/questions/5207160/what-is-a-csrf-token-what-is-its-importance-and-how-does-it-work

Quello che a te serve è un meccanismo di AutoLogin.

Non posso dilungarmi, parti da qui: http://stackoverflow.com/questions/10687562/liferay-autologin-authenticator-get-credentials-from-request-header

[Domenico Costa, modificado hace 7 años.]

Grazie Mille per la spiegazione ora è tutto più chiaro.

Provato con autolign e poi lo customizzato a modo mio ;)

Grazie