我正在為預訂平臺構建一個網絡應用程序，我正在使用 oauth2 來使用他們的API并驗證用戶。我的應用程序嵌入在我無法控制的另一個名為“X”的網站中。當用戶點擊我的應用程序時，它會加載https://localhost/?_account_id=12 到一個 iframe 中，該 iframe_account_id=12是它自己在 X 網站中的帳戶 ID。我正在使用 oauth2授權代碼流，以便用戶批準我的應用程序。我正在安全地存儲授權服務器提供的刷新令牌。我將account_id參數(shù)存儲在會話中。授權服務器不支持著名的prompt=none.這是我第一次使用 oauth2，所以也許我沒有正確理解 oauth2 的工作原理。由于安全性，我不能只依賴_account_id參數(shù)，因此每次連接到我的應用程序時，我都需要對用戶進行身份驗證。這樣做，每次會話到期時，應用都會提示用戶批準我的應用。對于 X 中可用的其他應用程序，我永遠不會被提示重新批準這些應用程序。因此，在分析它們時，每次我連接到其他應用程序時，我的瀏覽器的網絡開發(fā)工具都會列出這一點：204 https://other_app_provider/fr/admin?_account_id=12302 https://other_app_provider/auth/?_account_id=12302 https://authorization_server/oauth/authorize?_account_id=12&client_id={CLIENT_ID}&redirect_uri={REDIRECT_URI}&response_type=code&scope={SCOPES}&state={STATE}302 https://other_app_provider/auth/bookingsync/callback?code={CODE}&state={STATE}200 https://other_app_provider/admin我再說一遍，授權和回調之間沒有批準屏幕。我的問題：如何使用授權碼流或隱式流靜默認證用戶？換句話說，如何模仿上述行為？謝謝你的回答！
2 回答
精慕HU
TA貢獻1845條經驗 獲得超8個贊
我可以先問幾個問題 - 看看我是否理解這個場景：
用戶是否首先登錄主機應用程序 X，然后您的應用程序作為插件加載？
這是不同公司搭建主機和插件的聯(lián)合場景嗎？
主機和插件是否使用相同的授權服務器，或者它們是具有不同用戶憑據(jù)的不同登錄系統(tǒng)。
避免同意提示可能就像在 Authorizatiom Server 中的應用程序的 OAuth 客戶端條目中關閉此設置一樣簡單
值得注意的是，由于點擊劫持問題，iframe 中的 OAuth 登錄經常被阻止，更可靠的選擇是使用彈出窗口進行插件登錄。
在某些情況下，實現(xiàn)使解決方案感覺像單個集成 UI 的預期行為可能非常困難或不可能 - 但您的要求正變得非常普遍。
婷婷同學_
TA貢獻1844條經驗 獲得超8個贊
我找到了解決方案：
account_idX 授權服務器中有一個選項沒有很好的記錄：
預先選擇要授權的帳戶
調用您的管理 URL 時，我們傳遞參數(shù)
_account_id。該參數(shù)的值可以作為account_id授權過程中的參數(shù)。這樣做將在使用授權碼流或隱式流時預先選擇要授權的帳戶。
account_id所以我可以通過在授權url中傳遞參數(shù)來模仿問題中描述的行為。
現(xiàn)在，我理解了Pre-Select by 一詞：
檢查帳戶所有者是否連接到主機應用程序，選擇其帳戶并在應用程序中靜默驗證帳戶所有者，如果它是已批準的帳戶。
如果我在網絡開發(fā)者工具中沒有看到，那是因為它們是由 X 提供的，所以可能 X 使用 cookie/session 來預先選擇要授權的帳戶。我必須安裝第三方應用程序才能看到account_id授權 url 中的參數(shù)。
謝謝您的回答 ！
- 2 回答
- 0 關注
- 241 瀏覽
添加回答
舉報
0/150
提交
取消