SPA 应用程序的独立身份验证和授权服务器

Question

我有

• UI（单页应用）
• 外部身份验证服务器
• 我自己的授权服务器
• 资源服务器（我自己的后端 API）

这就是我想要做的事情

1. UI/用户从外部身份验证服务器获取 AuthN 令牌。
2. UI 发送 AuthN 令牌以从我自己的授权服务器获取 AuthZ 令牌
3. UI 使用 AuthZ 令牌从资源服务器检索数据

但问题是我不知道用户是否仍然经过身份验证，因为我从第 3 步开始停止使用 AuthN 令牌。我应该同时使用这两个令牌吗？或者以某种方式将 2 个令牌合并为一个？希望能从这里得到一些想法。谢谢！！

Answer 1

这是管理组件的标准方式：

1. UI 将 OpenID Connect 重定向到授权服务器 (AS)

2. AS 将第二次 OpenID Connect 重定向到身份验证系统。其中可能不止一个，例如 Google、Facebook。

3. 用户登录后，AS 为您的 UI 和资源服务器发出相同的令牌，无论用户如何登录。UI 将访问令牌发送到资源服务器，该服务器可以根据收到的范围和声明进行授权。

除非您有特殊原因，否则不要在您自己的应用程序中使用来自身份验证系统的外部令牌。这是因为您无法控制它们的内容。

认证时间

OpenID Connect max-age and auth-time 声明可用于控制提示用户重新进行身份验证的频率。例如，您可以在访问令牌过期时检查此项。