Tek oturum açma (SSO)

Nasıl çalışır

1. Bir okuyucu sitenizde oturum açıkken sunucunuz, onun kim olduğunu söyleyen kısa ömürlü bir token imzalar.
2. Sayfanız bu token'ı sso-token özelliğiyle yorum widget'ına verir.
3. Crowment imzayı doğrular ve okuyucuyu yorumlarda o kimlikle oturum açmış hâle getirir.

Token yalnızca sunucunuzun ve Crowment'in bildiği bir anahtarla imzalanır; böylece kimse okuyucuları başkası olarak oturum açtıramaz. Tek oturum açma her planda kullanılabilir.

1. Açın

Site Console → widget'ınız → Single Sign-On sayfasını açın. Ayarları sahipler ve yöneticiler değiştirebilir.

2. Sunucunuzda bir token imzalayın

Okuyucunun oturum açık olduğu her sayfa görüntülemesinde HS256 ve anahtarınızla bir JWT imzalayın.

email claim'i gerekmez ve kullanılmaz: Crowment hesapları asla e-postaya göre eşleştirmez.

// npm install jsonwebtoken
import jwt from 'jsonwebtoken'

const ssoToken = jwt.sign(
  { sub: String(user.id), name: user.displayName, avatar: user.avatarUrl },
  process.env.CROWMENT_SSO_SECRET,
  { algorithm: 'HS256', audience: CROWMENT_APP_KEY, expiresIn: '1h' },
)

// composer require firebase/php-jwt
use Firebase\JWT\JWT;

$now = time();
$ssoToken = JWT::encode([
    'sub'    => (string) $user->id,
    'name'   => $user->display_name,
    'avatar' => $user->avatar_url,
    'aud'    => CROWMENT_APP_KEY,
    'iat'    => $now,
    'exp'    => $now + 3600,
], getenv('CROWMENT_SSO_SECRET'), 'HS256');

# pip install pyjwt
import os
from datetime import datetime, timedelta, timezone
import jwt

now = datetime.now(timezone.utc)
sso_token = jwt.encode(
    {
        "sub": str(user.id),
        "name": user.display_name,
        "avatar": user.avatar_url,
        "aud": CROWMENT_APP_KEY,
        "iat": now,
        "exp": now + timedelta(hours=1),
    },
    os.environ["CROWMENT_SSO_SECRET"],
    algorithm="HS256",
)

// go get github.com/golang-jwt/jwt/v5
now := time.Now()
ssoToken, err := jwt.NewWithClaims(jwt.SigningMethodHS256, jwt.MapClaims{
    "sub":    strconv.FormatInt(user.ID, 10),
    "name":   user.DisplayName,
    "avatar": user.AvatarURL,
    "aud":    crowmentAppKey,
    "iat":    now.Unix(),
    "exp":    now.Add(time.Hour).Unix(),
}).SignedString([]byte(os.Getenv("CROWMENT_SSO_SECRET")))

3. Token'ı widget'a verin

Sunucuda üretilen sayfalarda token'ı embed koduna yazın:

<script defer src="https://embeds.crowment.com/comments.js"></script>

<!-- signed in: pass the token your backend signed for this page view -->
<crow-comments app-key="YOUR_APP_KEY" sso-token="SIGNED_TOKEN"></crow-comments>

<!-- signed out: leave sso-token out -->
<crow-comments app-key="YOUR_APP_KEY"></crow-comments>

Okuyucunun oturum açık olduğu her sayfada bir token verin. Token içermeyen bir sayfa widget'a okuyucunun oturumu kapattığını söyler; widget da onun yorumlardaki oturumunu kapatır. Başka sayfaları gezmek onu her seferinde yeniden oturum açtırmaz: widget oturumunu korur ve yalnızca okuyucu değiştiğinde yeni bir token alışverişi yapar.

Tek sayfalı bir uygulamada oturum durumunuz değiştikçe özelliği ekleyip kaldırın ve widget'ın olaylarını dinleyin:

const widget = document.querySelector('crow-comments')

// after your site signs the reader in
widget.setAttribute('sso-token', await fetchCrowmentToken())

// after your site signs the reader out
widget.removeAttribute('sso-token')

// the token expired while the page was open: hand over a fresh one
widget.addEventListener('crow:sso-expired', async () => {
  widget.setAttribute('sso-token', await fetchCrowmentToken())
})

// Required mode without a sign-in page: show your own login
widget.addEventListener('crow:login-required', () => openLoginDialog())

• crow:sso-expired: widget'ın okuyucuyu oturum açtırması gerekti ama token'ın süresi dolmuştu. Yeni bir token verin.
• crow:login-required: Required modu açık, giriş sayfası tanımlı değil ve okuyucu giriş düğmesine bastı.

Sitenizden oturum açan okuyucular oturumu sitenizden kapatır. Çıkış sayfası tanımlı değilse widget kendi çıkış düğmesini gizler; çünkü bir sonraki sayfada token'ın verilmemesi zaten oturumu kapatır.

4. Hesap bağlama

Zaten bir Crowment hesabı olan okuyucu, onu yorum bölümünden, avatarının yanındaki bağlantı simgesiyle bağlayabilir. Bir açılır pencerede Crowment'e giriş yapar ve bir Crowment sayfasında onaylar. Bundan sonra siteniz onu Crowment hesabıyla oturum açtırır ve site hesabıyla yazdığı yorumlar bu hesaba taşınır.

Bağlama, sitenizin o okuyucuyu yalnızca kendi sayfalarınızda Crowment hesabıyla oturum açtırmasına izin verir; onay sayfası bunu okuyucuya söyler. Okuyucu bağlantıyı istediği zaman User Console'da Profile → Linked sites altından kaldırabilir; yorumları onda kalır. SSO ayarlarındaki Account linking ile bağlamayı kapatabilirsiniz.

Token'ınızdaki ad ve avatar, her girişte okuyucunun yorum profilini günceller. Bağlanmış Crowment hesapları kendi ad ve avatarlarını korur.

Güvenlik

• Anahtarı sunucunuzda tutun. Ona sahip olan herkes okuyucuları sitenizde herhangi biri olarak oturum açtırabilir.
• Anahtar sızarsa Replace secret'ı seçin. Eski anahtarla imzalanmış token'lar hemen çalışmaz hâle gelir; yenisini hemen yayına alın. Yorumlarda zaten oturum açmış okuyucuların oturumu açık kalır.
• Token'ları yalnızca o anki isteğin okuyucusu için imzalayın ve kısa ömürlü tutun.

Sorun giderme