实现类似于OIDC中SAML的身份验证流程

Question

假设我们有一个 SPA，它依赖于我的应用程序中的 API。SPA 和 REST API 都托管在同一台服务器上。现在，我正在使用基于 SAML 的 IDP 发起的联合 SSO。

我清楚地知道参与的各方以及信任是如何建立的。

1. 对于我们需要与之集成的每个客户，首先从我的web应用程序端获取IDP ID、数字证书等配置详细信息，并共享SAML ACS URL等详细信息
2. 在客户端，他们使用我们提供的SAML ACS URL将我的应用程序添加为依赖方
3. 在IDP对用户进行身份验证，然后将SAMLResponse发布到我的ACS URL
4. 我们可以验证这个SAMLResponse，还可以观察NameID来识别用户，并继续访问我的服务器上的API

现在，假设客户端的IDP是与OIDC兼容的服务，比如Okta，我可以通过在服务器端做一些更改来实现类似的身份验证流程。看起来这应该是可能的，但我无法将整个画面拼凑在一起。

根据我对OIDC的了解，它看起来像

< li >水疗中心是客户 < li >我的公开REST APIs的服务器是资源服务器。 < li >客户的IDP(Okta)是授权服务器。

从我阅读的文章来看，SPA应该首先调用Authoration Server以获取访问令牌，然后使用此访问令牌调用资源服务器上的userInfo API。然后看起来上面的第2点我的服务器是资源服务器是错误的。客户的IDP也应该是授权服务器和资源服务器？

在这种情况下，我的服务器在整个 OIDC 流中的位置如何？

如何在Okta（客户的IDP）和我的服务器之间建立信任？

是否有可能在OIDC中实现等同于IDP发起的美联储SSO流（使用SAML）的流？

Answer 1

您可以使用Openid Connect隐式授权类型(和response_mode=form_post)来实现类似SAML HTTP Post绑定的用户体验。如果您的IdP不支持form_post，令牌将作为片段返回并保留在浏览器中，您将需要代码从浏览器中获取令牌。