代表用户(服务器到服务器)安全地访问iCloud

Question

是否有关于如何根据用户名/密码为iCloud用户生成"票证"的分步说明.我想构建一个访问iCloud数据(服务器到服务器)的服务,而无需存储iCloud用户名或密码.

我的理解是您使用用户名/密码从iCloud生成Kerberos票证.这是基于iOS for Sunrise如何使用iCloud凭据访问我们的日历的答案？.但我没有在网上找到如何做到这一点的说明.

有谁知道这是怎么做到的吗？谢谢!

Answer 1

首先我要指出的是，默认情况下 iCloud 应用存储是在容器中“沙盒”的。签名的应用程序只能访问自己的容器，而无需 API 密钥来向其他应用程序容器进行身份验证。您可以让多个应用程序共享同一个容器，或者根据需要在同一个应用程序中使用多个容器，但本质上您必须是所有应用程序的开发人员或拥有执行此操作的明确权限。查看将 iCloud 合并到您的应用程序中和启用 CloudKit了解更多详细信息。

其他（非应用商店）应用程序和服务可以通过CloudKit Web 服务进行身份验证以使用应用程序的数据：

1. 向 iCloud 进行身份验证（基于重定向，因此凭据仍然不会泄露，只有用户和 iCloud 服务器本身知道）；
2. 使用您的应用程序 API 密钥进一步进行身份验证；

正如Adam Taylor已经指出的那样，这里详细描述了该过程。

综上所述，如果我理解正确的话，您希望能够访问用户的所有 iCloud 数据。我认为，由于多种原因，您将无法这样做：

1. 数据受应用程序密钥保护，因此除了基本凭据之外，您还需要拥有该应用程序密钥才能访问容器；
2. 我确信苹果有一个设计政策，永远不会以纯文本形式询问用户凭据。明确要求用户提供凭据将违反他们的政策，即使事实证明并非如此，拥有凭据也不会对您有多大帮助，因为您必须在某个地方输入/发送它们。但所有 iCloud 身份验证机制均设计为仅要求最终用户进行身份验证。

这就是为什么我不相信仅使用用户凭据就可以访问其所有 iCloud 数据的原因。现在，我想谈谈 Sunrise 为何有效：

据我了解，Sunrise 应用程序可以工作，因为日历数据被设计为通过 CalDav 共享，它在具体的 URL 上工作，因此您可以在各种日历客户端应用程序中导入和链接您的日历。通过一些调查就可以找到该 URL。CalDAV 有点类似于邮箱访问的 IMAP 和 POP3。

请详细说明您要提取的数据类型（特定于苹果应用程序、特定于开发人员应用程序、文档、键值对或其他数据），我或其他用户可能会进一步帮助您。