用于用户服务器端应用程序的 Okta OpenID 身份验证

Question

我有一个使用 OpenID 和 OAuth 2.0 执行身份验证的 Okta 帐户。

用户可以登录一个 Web 应用程序，并且使用 Okta 登录小部件（Web 应用程序）生成的 id_token 和 access_token 在我的 API 上验证身份验证)。

我的用户还需要直接从他们的服务器而不是 UI 执行 API 请求；但是，登录小部件需要 URL 重定向才能接收令牌。

应用程序的用户如何从服务器端代码中检索令牌，以便能够向我的 API 发出经过身份验证的请求？

Answer 1

Okta 支持Resource Owner Password 流，这可能适合您的需要，因为它允许通过调用 rest api 直接从 okta 请求用户凭据，如下所示：

POST https://youroktadomain.com/oauth2/default/v1/token?grant_type=password&username=user1&password=11111&scope=openid

Okta 提供very good step-by-step guide here 来设置Resource Owner Password。

完成这些步骤后，您将有两个选择：

1. 创建一个 okta 包装器 WebApi 应用程序。它将公开您的用户将调用的登录端点（输入将是 okta 用户名/密码）。这个应用在幕后调用 okta（通过 rest 调用），接收 access_token 并将其返回给用户
2. 将直接 okta 呼叫分享给您的用户

第一个选项听起来更可取，因为它可以为您提供一些控制权，而第二个选项不需要任何努力，但可以揭示您的内部情况。