iframe 和 api 的 OAuth 2 身份验证

Question

我正在将多个网站/服务集成到我的应用程序中。我使用 iframe（或 Vue Electron 的 webview）进行 UI 集成，我还使用 API 来实现这些服务之间的交叉通信。

目前，我必须为每个服务通过 OAuth 2 身份验证两次：一次是 iframe 中自然身份验证的一部分，另一次是我要求用户授予我访问此服务的权限（出于 api 原因）。

有没有办法简化这个过程？

Answer 1

最先进的响应是完全修改您的应用程序。

• 您应该有 1 个 SPA 应用程序而不是 iframe
• 此应用程序将进行身份验证以获取 OAuth2 令牌
• 然后此应用程序会调用后端（访问多个后端，或访问调用后端的 API 管理层）。

问题是，有了这个你可以有两种策略：

• 在第一次身份验证时授予所有权限（范围）
• 在第一次身份验证时提供可能的缩小范围，然后在需要时“重新验证”（实际上是验证新范围）以获取新的访问令牌

当一个 API 想要调用另一个 API 时，你还有 3 个策略：

• 您只需将 API 接收到的相同客户端令牌用于您的 API 调用服务（无需人工交互）
• 您的 API 从服务帐户（使用 ROPC 身份验证方案）或通过客户端凭据方案（访问令牌将有效但通常不会绑定到真实用户）生成令牌，（无需人工交互）。 （API 将是第二个 API 的客户端）
• 您的身份提供者有一个端点来转换访问令牌：您的 API 可以提供客户端访问令牌，授权服务器将使用您 API 的 client_id 转换它。您将此令牌发送到 2ndAPI（令牌将显示您的 UI 应用程序的主题，但客户端 ID 将是第一个 API 客户端 ID）（无需人工交互）

现在，如果您将 IFrame 与同一域上的多个子应用程序一起使用（域需要完全相同！），则可以通过本地存储共享相同的访问令牌。 （安全性不是一流的） 有时您可能需要使用更大的范围列表进行身份验证，但这是您唯一的选择。您将模拟一个单页应用程序，但问题是您可能会有不同的 client_id，具体取决于您验证到的第一个应用程序。

编辑：多授权服务器

根据您的评论，您有多个授权服务器。一种策略可能是要求用户进行身份验证，然后您的应用程序可以获得 access_token 和 refresh_token。 根据您的授权服务器，refresh_token 可以在很长一段时间内大量/使用，因此如果您将其存储在某个地方，下次用户访问您的应用程序时，您的应用程序可以静默地从该刷新令牌中获取 access_token。然后，您的应用程序无需与您的用户进行更新的交互即可访问删除 api。 当然，这意味着您必须尽可能安全地保存此令牌。

Answer 2

通过使用 OpenID Connect，您可以在一个步骤中结合身份验证和授权，并在一个身份验证响应中同时获得 id_token 以让您的用户登录到您的应用程序以及访问 API 的 access_token。