網站和提供商之間沒有祕密的單點登錄

Question

我有一個客戶想要單點登錄到我的應用程序，我試圖找出如何實現它。

看起來在理論層面上，或者必須在您的網站和SSO提供商之間共享一個祕密，以便郵件可以附加防篡改哈希，或者您的網站必須生成令牌，其中SSO和用戶可以單獨確定。

我有機會告訴SSO提供者我想如何與他們交互，我真的不想處理消息散列和存儲祕密，所以我想出了以下這些，似乎我喜歡它工作。

這是不安全的？有沒有更好的方法來做到這一點？

Answer 1

這個想法很好，它非常類似於衆所周知的生產準備JasigCentral Authentication Service協議，它的java服務器實現jcas。

CAS也處理Single Sign Out（這是不那麼明顯），proxy，OAuth integration等。