mikker/passwordless
Passwordless
Passwordless est un moteur d'authentification pour les applications Ruby on Rails qui remplace la gestion traditionnelle des mots de passe par une vérification par lien magique envoyé par e-mail. Il permet un accès utilisateur sécurisé en générant et en validant des jetons signés cryptographiquement et limités dans le temps, permettant aux utilisateurs de s'authentifier via leurs adresses e-mail.
Le framework fournit une gestion complète du cycle de vie des sessions, incluant des politiques d'expiration configurables et un contrôle d'accès basé sur les routes pour protéger les zones sensibles de l'application. Il intègre des primitives de sécurité telles que la limitation du taux de requêtes pour atténuer les attaques par force brute et un middleware pour appliquer l'état d'authentification à travers les requêtes web.
Les développeurs peuvent personnaliser le flux d'authentification en remplaçant les comportements par défaut pour la création de session, la redirection de page et la livraison de notifications. La bibliothèque inclut également des utilitaires dédiés aux tests automatisés, permettant aux développeurs de simuler par programmation les états de connexion et de déconnexion des utilisateurs au sein des suites de tests d'intégration et système.
Features
- Magic Link - Verifies user identity by sending time-limited magic links to email addresses to grant access without passwords.
- Session-Based Access Controls - Enforces route-level security by validating active user sessions and authentication state across web requests.
- Passwordless Authentication - Enables secure access to web applications by sending time-limited tokens to email addresses instead of requiring stored passwords.
- Middleware - Intercepts web requests to validate session state and enforce security policies before executing application logic.
- Rails Authentication Frameworks - Implements secure user login systems for Rails applications using email-based magic link verification.
- Brute Force Protections - Limits the frequency of authentication attempts to protect against automated guessing of magic link tokens.
- Authentication Rate Limiters - Limits the frequency of authentication attempts to mitigate brute force attacks and protect system resources.
- Route-Based Access Restrictions - Limits access to specific application paths based on authentication state using defined routing constraints.
- Database-Backed Session Authentications - Persists authentication tokens in a relational database to track validity and expiration status for every login attempt.
- Session Lifecycle Management - Defines custom expiration durations and timeout policies to manage the time windows during which users remain logged in.
- Session Token Issuance - Uses cryptographically signed tokens to verify user identity and establish persistent sessions without requiring stored passwords.
- Web Session Management - Controls user access and session lifecycles through configurable expiration policies and route-based constraints.
- Security Middleware - Includes utilities for managing session lifecycles, preventing brute force attacks, and restricting route access.
