委託與聯合身份驗證

Question

我在寫幾個使用Node.js的Web應用程序。在所有這些應用程序中，我需要認證和授權。我不想做的是在每個Web應用程序中處理認證和授權。

因此，我開始考慮具有委派和/或聯合認證機制，到目前爲止已經處理的OpenID和OAuth（2）。

儘管如此，我不確定自己是否在正確的軌道上。

我要的是：

• 有一個集中的認證服務器（這是可能同時使用，OpenID和OAuth的）。
• ANYBODY不應該有可能進行身份驗證（這顯然將我從OpenID推向OAuth，因爲我明確要做而不是想要允許任何OpenID提供者）。
• 我想啓用聯盟：用戶應該不僅能夠對我的集中認證服務器進行身份驗證，但這種服務器將與一些預先選定的其他認證服務器做聯盟（認爲服務器與現有的ActiveDirectory整合）。我不確定OAuth是否可行，是嗎？
• 我想我的web應用程序只信任令牌從MY中央服務器來（或者間接地來自可信聯盟者之一）。 OAuth2承載令牌有可能嗎？

很多問題......我知道我可以通過WS-Trust和WS-Federation使用SAML，但我會選擇更輕量級的身份驗證策略。

有關於此的任何想法，提示或建議？

Answer 1

是的，你可以做到這一切。事實上，您可以在任何協議（如AD或LDAP目錄）上將您的應用與任何身份提供商橋接。 （這正是我們在our server中所做的）。

既然你是在node.js的，我強烈建議你看一下優秀passport中間件作爲起點。