具有 Web 视图的本机移动应用程序的 SSO 方法？

Question

因此，原生移动应用（Android 和 iOS）的标准 SSO 方法似乎是通过 AppAuth 库的 OAUth2 + OpenID Connect。

这一切都很好——而且实际上似乎接近优雅。

但是，如果同一个应用程序包含需要使用相同 SSO 访问资源的嵌入式 Web 视图组件（在与本机代码相同的 Web 应用程序中的同一服务器上，所有资源都需要身份验证才能访问），该怎么办？

对于初学者，OAuth2 访问令牌（一旦获得）不会自动传播到 Web 应用程序中的超链接请求，对吧？那么，Web 应用程序页面本身是否真的必须使用 JavaScript 重新设计才能进行这种传播？移动应用可以重写请求来解决这个问题，但是：

1. 至少在 Android 上这仅适用于 GET 请求（对吗？）
2. 更重要的是，这是假设 Web 应用程序不需要在普通浏览器客户端中运行

OAuth2 不是正确的方法吗？如果是这样，那似乎是一种耻辱——因为 AppAuth 对于本机应用程序方面来说似乎相当不错。它只是将基本的 Web 视图浏览融合到真正把事情搞砸的图片中。

或者是否有一些事实上的标准 JavaScript 库可以与 Angular 等混合使用（然后需要使用 Angular 等）？

Answer 1

这里是 AppAuth 的主要维护者。对于您所描述的内容，尚无标准方法。 IETF 的原生应用程序 BCP 的 OAuth2 朝着正确的方向迈出了一步（并启发了 AppAuth），但没有涵盖如何在应用程序和站点之间同步身份验证状态 - 这留给阅读器。

如果您主要关心的是用户浏览器中应用与其关联站点之间的身份验证状态是否一致，最好的方法通常是通过 Android 上的自定义选项卡或 iOS 上的 SFSVC / SFAuthenticationSession 将身份验证委托给站点。身份验证将由站点管理，一旦完成，身份验证状态可以通过自定义方案或应用链接/通用链接共享回应用。

在嵌入式 WebView 方面，情况正好相反 - 从应用程序中播种网站的 webview 透视图，因为 webview 的状态不会保留，而应用程序的状态应该保留。

我希望有一个更好、更标准化的解决方案来解决这个问题，并且会朝着这个方向努力，但目前定制的、按服务的解决方案都是可行的。