标签: openid-connect

我正在尝试将 Azure AD B2C 配置为 Salesforce 的身份验证提供程序。我按照http://salesforce.vidyard.com/watch/kcgTXQytUb6INIs2g3faKg中的说明进行操作（而不是使用 Google Azure AD B2C）。

当我单击仅测试初始化​​ URL 时，出现以下错误

我的 B2C 设置非常基本。我只有一个电子邮件提供商和一个开箱即用的登录注册策略。

任何帮助将不胜感激。

我在 iframe 中使用 keycloak。在我的钥匙斗篷后面是一些二级 IDP，例如 google 和 facebook。

根据我当前的配置，keycloak 只是重定向到那些辅助 IDP。这意味着它们也在 iframe 中打开。我真的很想改变这一点，因为它与我的一些主要安全政策相矛盾。

我可以以某种方式告诉 keycloak 在弹出窗口中打开外部 IDP 吗？我已阅读 keycloak“服务器管理指南”，但找不到任何有关此问题的信息。

使用 .NET Core 3.1 框架，我尝试使用以下设置配置 Web 平台：

• Razor Pages 应用程序，充当平台的登陆页面，具有平台广告、cookie 同意、隐私政策、联系人以及身份附带的页面（例如登录、注册、管理帐户）等功能/页面。
• Razor Pages 应用程序的身份验证以标准身份方式执行。
• Angular SPA，只有在用户登录后才能访问。
• 使用 Identity Server 进行 OIDC 配置，以便向 Angular SPA 添加身份验证和授权。

所有这三个组件（Razor Pages + Angular + Identity Server）都捆绑到一个 .NET Core Web 项目中。我还搭建了 Identity 框架，以便能够自定义页面的外观和行为。

我几乎能够按照我想要的方式配置应用程序，方法是基本上混合 Razor Pages 选项的启动模板代码（用户帐户存储在本地）和 Angular 模板选项（用户帐户存储在本地）以及一些尝试、错误和调查。

我的申请目前的状态是：

1. 用户登录 Razor Pages 应用程序。
2. 登录成功，导航栏显示邮件。
3. 当我们导航到 SPA 时，我的 Angular 应用程序尝试静默登录并成功：

本地主机：5001/Dashboard（Angular SPA 主路由）

4. 如果我们导航到 Razor Pages 应用程序中没有路由的部分/Identity（仅用于带有身份的页面），则 cookie 似乎不再包含正确的信息，并且我在这些路由中没有会话。这意味着，例如，如果我使用SignInManager.IsSignedIn(User)仅显示受 保护的管理页面的导航选项options.Conventions.AuthorizePage($"/Administration")，如果我位于具有身份路由的 URL 中，则将显示导航选项卡，否则将显示不显示：

本地主机：5001/身份/帐户/登录

localhost:5001（Razor Pages 应用程序主路由）

5. 但是，即使当我位于具有路由的 URL …

我在 .Net Core 中有一个“身份验证服务”应用程序，它通过质询请求进行身份验证，然后使用令牌重定向回客户端应用程序。

    [AllowAnonymous]
    [HttpGet("Login")]
    public IActionResult Login()
    {
        return Challenge(new AuthenticationProperties
        {
            RedirectUri = returnUrlQs
        }, OpenIdConnectDefaults.AuthenticationScheme);
    }

目前，我使用 OpenId Connect 事件通过 HTTP cookie 传输令牌options.Events.OnAuthorizationCodeReceived。然而 4kb cookie 长度太小，所以我想尝试将其移至授权标头。

我尝试设置响应标头，但另一端没有收到它；在客户端应用程序上。

这有可能实现吗？

谢谢你的帮助！

在阅读了很多有关这两种标准（Saml 2.0和OIDC）的文章之后，我想使用单点登录，并完全混淆了使用什么。我对它们的工作原理有一个基本的想法，但不确定在安全性方面哪一个最好。

我的具体疑问是，openid-connect的混合流的安全性较低，因为它发送带有auth_code的id_token和access_token可以将这些令牌公开给用户代理。混合流通常用于SSO（单点登录）。

如果是SSO，OIDC是否与SAML一样强大？