Datasnap REST Authentifizierung

[Nimral]

Hi allseits,

ich bin gerade dabei, mich in das Datasnap REST Framework von XE5 reinzukämpfen. Im Moment hänge ich noch sehr an den paar Demos, die Embarcadero dazu veröffentlicht hat. So langsam zeigt das System jetzt seine weniger tollen Seiten, wobei ich natürlich Eigenfehler nicht ausschließen kann, auch weil die Dokumentation, die ich bisher ausgraben konnte, gelinde gesagt ein schlechter Scherz ist. Vielleicht komme ich mit eurer Hilfe etwas weiter?

Erstes Problem: ich kämpfe mit dem Session Management. Beim Versuch, das System halbwegs zu durchschauen greife ich bei der Suche nach Dokumentation erst einmal ins Leere, und stoße beim Versuch, es selber aufzudröseln, in den Templates auf ein Element <# .... >. Offenbar eine Art Platzhalter, der zur Laufzeit (von welcher Routine???) durch etwas anderes (was ???) ersetzt wird.

Delphi-Quellcode:

function onLoad()
{
  showTime();
  loginRequired = <#loginRequired>;
  setConnection('<#host>', '<#port>', '<#urlpath>');
  if (loginRequired)
  {
    showLogin(true);
  }
  else
  {
    showLogin(false);
  }
}

Und es geht in Rätseln weiter. So wie ich das sehe, ist der Check ob eingeloggt oder nicht bei den Demos Bestandteil jeder Webseite. Deshalb enthält jede einzelne Seite den kompletten html Code für den Login ...

Code:

    <div id="logindiv" style="DISPLAY: none">
      <p class="divlabel">Login</p><br />
      <form onsubmit="onLogin(); return false;">
        <table class="authtable">
          <tr>
            <td>User Name:</td>
            <td><input id="userField" class="loginField" /></td>
          </tr>
          <tr>
            <td>Password:</td>
            <td><input id="passwrdField" class="loginField" type="password" /></td>
          </tr>
        </table>
        <div id="loginError" class="errorMsg"></div><br /><input id="loginButton" type="submit" value="LOG IN" />
      </form>
    </div>

Muss das so sein? Eigentlich würde ich erwarten, dass die Serverseite die Gültigkeit einer Anfrage prüft, indem sie versucht, die Anfrage einer bestehenden Session zuzuordnen, und die ggf. eine Login-Seite einschiebt, oder - sinnvoller - den Client per Referrer zu einer zentralen Login Seite verweist, wenn entweder keine Session-ID übermittelt wird (neue Anfrage ...), oder wenn die Session nicht mehr gültig ist.

Bei der Vorstellung, redundanten Code in x Webseiten mitzuziehen beschleicht mich das Gefühl, dass das nicht das ist was ich machen möchte.

Danke für Tipps aller Art

Armin.

[mjustin]

Zitat von Nimral:

Code:

    <div id="logindiv" style="DISPLAY: none">
      <p class="divlabel">Login</p><br />
      <form onsubmit="onLogin(); return false;">
        <table class="authtable">
          <tr>
            <td>User Name:</td>
            <td><input id="userField" class="loginField" /></td>
          </tr>
          <tr>
            <td>Password:</td>
            <td><input id="passwrdField" class="loginField" type="password" /></td>
          </tr>
        </table>
        <div id="loginError" class="errorMsg"></div><br /><input id="loginButton" type="submit" value="LOG IN" />
      </form>
    </div>

...

Bei der Vorstellung, redundanten Code in x Webseiten mitzuziehen beschleicht mich das Gefühl, dass das nicht das ist was ich machen möchte.

Nicht auf allen Webseiten - nur auf denjenigen, die per JavaScript mit dem Datasnap Server kommunizieren wollen

Datasnap REST Server verwenden HTTP Basic Authentication, und im JavaScript Client (siehe onLogin Methode) wird ein Proxy für die Verbindung mit Username / Passwort erzeugt.

Das HTML Formular selber ist unbeteiligt, d.h. nicht durch Basic Auth abgesichert. Es kann theoretisch lokal gespeichert sein, oder von einem anderen Server geliefert worden sein.

Abgesichert sind nur die REST Zugriffe auf die Datasnap Servermethoden, aber nicht Zugriffe auf die Resourcen des HTML Dokuments. Oder anders gesagt, die HTML Seite ist nur eine Umgebung in der die REST Methoden erzeugt, gesendet, und ihre Ergebnisse dargestellt werden. Die HTML Seite ist nicht Teil des REST Webservices, sie liefert nur eine Laufzeitumgebung im Browser.

(Ich bin allerdings mit Datasnap REST nur über diverse Stackoverflow Artikel und Docwiki Seiten in Kontakt gekommen, eigene Erfahrungen habe ich damit nicht.)