SSO使用身份服务器4的OAuth2协议

Question

基于OpenID的SSO和WSO2 Identity Server以及WSO2 Identity Server：关于SSO并不能完全消除我的疑虑。

我有两个微型服务：

1. 订单（可在：mydomain.com/orders下获得）
2. 仓库（mydomain.com/warehouse）

两者都在同一个域下可用。

两者都有各自的前端和后端。（分别为角度和.Net核心）

我想使用OAuth2和自动代码PKCE流授权类型提供SSO（单点登录）。

我想使用Identity Server作为OAuth2和OIDC的实现。

情景：

1. 用户点击mydomain。并自动重定向到/登录他/她登录的位置

问题：

1. 我应该使用授权代码PKCE Flow吗？
2. 我是否应该有单独的客户端（从STS/IS的角度来看），例如orders_client和warehouse_client？
3. STS/IS如何识别已经通过身份验证的用户？使用auth cookie？

Answer 1

1. 我应该使用授权代码PKCE Flow吗？

是的，在最新的OAuth 2.1中，您只需在两个流授权代码流和客户端凭据流之间进行选择。不推荐使用所有其他流。因此，当涉及到用户时，应该将身份验证流与PKCE一起使用。

视情况而定。

如果您有两个客户端，那么用户可能需要同意两个不同的客户端。也许从用户的角度来看，他们只需登录并同意其中一个应用程序就好了。或者，如果您在这两个服务前面放置一个代理，那么用户会将系统视为一个。或者，您可以共享相同的数据保护API密钥，以便两个服务可以共享相同的会话cookie。

作为一个用户，您有一个单独的会话cookie和IdentityServer，因此当您登录后跳回它时（可能受到第二个服务的挑战），您将自动登录。您可能需要给予同意，但在进行初始身份验证时，可以使用prompt参数来控制这一点。