代码之家 › 专栏 › 技术社区 › David Klempfner

为什么OIDC授权代码流不能全部返回通道?

openid-connect oauth-2.0

David Klempfner · 技术社区 · 3 年前

我一直在学习OIDC,尤其是授权代码流。

前端通道只获取授权代码,然后将其发送到客户端的后端代码,后者随后使用授权代码、客户端和机密对身份提供者进行后端通道调用。

这是因为您不希望前端知道客户端机密,因为这是一个安全问题。

但是,为什么整个流程不能只返回通道?

前端不能用所有必要的参数(如作用域等)调用其后端,然后后端使用客户端ID和客户端机密调用身份提供程序,然后后端现在拥有访问令牌和身份令牌吗?

1 回复 | 直到 3 年前

Hans Z. 3 年前

OIDC(或OpenID Connect)是指在不向依赖方泄露用户凭据的情况下,向依赖方(或客户端)验证用户。前端通道流用于将用户浏览器发送到对用户进行身份验证的提供者。如果流仅为反向通道,则用户必须首先向依赖方提供他/她的凭据,这违背了其目的(例如LDAP就足够了)。

推荐文章

synergetic · Asp。默认Razor Pages应用程序中的Net Core 2.0 Azure Ad身份验证

8 年前

data_henrik · 如何将Python OpenID Connect模块与IBM云应用程序ID一起使用?

8 年前

user217648 · 在AD中处理帐户的正确方法是为不同的应用程序使用SSO

8 年前

Sat Thiru · 关联失败。在微软。AspNetCore。身份验证。OIDC身份验证期间的RemoteAuthenticationHandler

8 年前

Sagar Chilukuri · 使用现有MySQL数据库进行用户身份验证的KeyClope用户联合

8 年前

Aaron · IdentityServer4和运行在iOS 9.3.5上的客户端(禁用JavaScript)

8 年前

triton oidc · 使用OpenID connect在Spring安全应用程序中生成nonce

8 年前

Jason Bourne · 如何将Okta与Keyclope一起使用?

8 年前

Pulkit Gupta · 如何在基于JSP+Spring MVC的应用程序中使用OIDC

8 年前

Tom Troughton · oidc客户端js无法从Identity Server 4正确获取声明

8 年前