openid-connect

1熱度

2回答

在我的初步分析上使用OpenID的獲取從Azure的AD訪問令牌連接協議，我才知道有考慮兩種方式使用使用緩存的登錄用戶上下文獲取訪問令牌。使用應用程序上下文獲取訪問令牌。任何人都可以幫助我知道哪些需要考慮一些示例代碼。

2熱度

1回答

運行應用程序需要使用來自OIDC的刷新令牌（keycloak）來獲取訪問資源的授權。但似乎返回的RefreshToken似乎已過期或泄漏。問題是我可以登錄到應用程序並調用RefreshToken並傳入我的同步網關方法，但響應總是401無效。不確定如何進一步調試。或者有什麼方法可以嘗試刷新RefreshToken。查看下面的代碼。 [startup.cs] app.UseCookieAuthe

-1熱度

2回答

哪種SSO策略更安全SAML 2.0或OpenId Connect？

我想要使用單點登錄，並在閱讀了大量有關這兩種（Saml 2.0和OIDC）標準的文章後完全混淆了使用方法。我對他們是如何工作有一個基本的想法，但不確定在安全性方面哪個最好。我的具體疑問是，openid-connect的混合流是不太安全的，因爲它發送id_token和access_token與auth_code可以將這些令牌暴露給用戶代理。混合流程通常用於SSO（單點登錄）。在SSO的情況下，O

0熱度

1回答

如何在ASP.NET MVC項目中使用OpenID和Owin中間件進行Web API 2控制器的AzureAD身份驗證

我有一個ASP.NET MVC5應用程序，其中包含少量控制器的WEB API2項目。我已經使用AzureAD和OpenID連接和OWIN中間件爲ASP.NET MVC5項目設置了AzureAD身份驗證。從ASP.NET MVC項目的角度來看，一切正常。 WEB API2控制器用於處理來自angularjs，Android 和iOS應用程序的請求。 WebAPI控制器需要處理來自發出AJAX請求的

0熱度

1回答

是否可以在專用網絡上運行IdentityServer以進行MVC身份驗證？

我相信我的問題的簡短答案是「否」，但允許我描述上下文。我們目前正在使用IdentityServer授權訪問我們的API（通過客戶端憑證）。所有的API客戶端都是運行在我們數據中心並在我們控制之下的計算機程序。爲了最大限度地減少攻擊面，我們的IdentityServer從內部/專用網絡運行，可從我們的API，服務和其他應用訪問。沒問題。我們現在想要利用IdentityServer安裝爲我們面向公

1熱度

1回答

如何使用Identity Server實現SSO？

我有一些使用.NET Membership和Forms Authentication的遺留.NET Framework Web應用程序。他們每個人都有他們自己的登錄頁面，但他們都在同一個域（例如.mycompany.com）上，共享一個ASP.NET成員資格數據庫並共享一個機器密鑰，以便他們能夠識別彼此的Cookie以實現SSO;即如果您登錄到一個應用程序，那麼您將登錄到它們中，與登出相同。現在

1熱度

1回答

在OAuth 2.0中，授予和流程有什麼區別？

我一直在閱讀OAuth 2.0規範，我無法弄清楚授予和流程之間的區別。該文檔似乎可以互換地使用這些術語。撥款定義爲here。例如，可以考慮直接從規範採取了以下片段： The implicit grant is a simplified authorization code flow optimized for clients... 他們爲什麼不說 implicit flow is a sim

0熱度

2回答

從Office 365啓動的用於Web App的Azure Active Directory流

我將使用哪種Azure Active Directory認證流用於需要調用Microsoft Graph API並從Office 365應用啓動器啓動的單租戶Web應用程序？ Office 365使用的是與Web應用程序相同的租戶，而我正在使用Azure AD v1端點。我試過的例子對於這種情況並不適用，因爲它預計用戶不能登錄。我試過了這個例子：https://github.com/micros

0熱度

2回答

ID令牌或/用戶信息用於標識斷言

與提供商認證之後，應用程序通常將同時接收的ID和令牌代表用戶的接入令牌。現在看來有兩種方法可以斷言用戶是誰。驗證ID令牌，然後讀取ID令牌。將訪問令牌傳遞給userinfo端點並讀取JSON響應。兩者似乎都是可接受的途徑，但是在某些情況下應該使用哪一種？

0熱度

1回答

OpenId訪問令牌更新值客戶端

我有一個聲明AllowEmailNotifications，它允許用戶在其配置文件客戶端打開和關閉通知。我最初在他們的用戶配置文件對象中有這個值，它存儲在sessionStorage客戶端，在數據庫中更新以及sessionStorage在切換此值時更新。將此值移動到訪問令牌並更新也存儲在會話存儲中的訪問令牌客戶端還是被認爲會篡改令牌是否安全？我需要它的服務器端，或者我應該只是打電話給數據庫來獲得