在PHP web app中使用多个身份提供者进行单点登录

Question

我正在用PHP构建一个需要集成SSO的SAAS web应用程序。我们将有多个客户组织，每个组织都有自己的身份提供者（Active Directory）。在研究可能性时，我遇到了SimpleSAMLphp，但我不确定它是否能满足我的要求，并希望得到关于最佳实现方法的反馈。看起来SAML或OAuth2是一个不错的选择，但我在这方面的经验有限。

需要这些能力：

1. 客户端管理员应该能够通过广告添加和删除对我们应用程序的访问。
2. 通过各自的广告服务器对用户进行身份验证（与他人进行身份验证的灵活性是一大优势）——除了依赖静态IP之外，我如何知道要检查哪个身份提供商
3. 没有身份提供者的组织的用户应该能够通过现有的身份验证方法（mysql中的哈希传递）登录
4. 我们还将有一个基于IONIC框架开发的混合移动应用程序（ios/android），该应用程序将需要SSO，我想知道我是否会通过REST API进行身份验证，或者该过程将如何工作。如果可能的话，希望找到一个既能容纳web应用程序又能容纳移动应用程序的解决方案

其他信息：我计划在CentOS服务器上托管PHP应用程序。如果需要，我们有能力连接一个站点到一个站点的VPN。

Answer 1

1. 正如我所知，广告不能做OAuth，只有通过ADF的SAML
2. 每个客户端都可以有单独的SSO url。或者你可以有一个单一的SSO页面，并确定要使用哪个IDP——然后你可以首先询问用户名，检查用户属于哪个客户端，然后选择他们所有的IDP，并将它们呈现给用户选择一个，然后做SSO，最后在cookie中记住IDP首选项，这样下次你就不必做所有这些
3. 当然，正常的un/pw登录页面
4. 在移动设备上从未使用过SAML，但它主要是一个前端承载通道，我猜您必须打开一个web视图，在其中执行SAML SSO过程。最后，你要么让你的站点完成整个SSO，并以某种方式“给出”应用程序的凭据，要么从webview获取响应，并在应用程序中本地解码，但在这种情况下，由于断言消费者服务URL与你的站点不同，这将是一个单独的SP，具有自己的EntityID，这将给您的系统以及设置ADF的客户带来额外的复杂性。猜猜第一个选择是让你的网站做所有的SSO更好

我建议您看看LightSAML——一组实现SAML数据模型和Web浏览器SSO配置文件的PHP库。如果你正在使用Symfony，它还提供了一个安全包，最重要的是它是一个适合定制使用的库，而不是像simple SAML这样的应用程序。

对于应用程序设计、屏幕、流程和设置，您还可以查看zendesk是如何做到的。它们是多租户SAAS应用程序，具有多个SSO选项，比如SAML、JWT，甚至我认为是OAuth。有机会与他们融合，这非常适合你的工作。

如果你不局限于SAML，我建议JWT作为最简单的一个，尽管不是一个标准。