IdentityServer Flows

Question

IdentityServer hỗ trợ các luồng OpenId Connect khác nhau được xác định trong Flows enum và được đặt cho khách hàng. Ngoài ra còn có mẫu cho từng loại dòng chảy và nhiều tài liệu tham khảo cho chúng trong tài liệu nhưng tôi không thể tìm thấy danh sách định nghĩa đơn giản về những gì đang ở trong documentation như thể chúng quá rõ ràng để giải thích bằng lời. Nhưng tôi đoán là không. Bạn có thể vui lòng cho biết thêm về sự khác biệt này, có lẽ chúng ta có thể thêm nó vào tài liệu?

Vậy là gì: ngầm dòng chảy, chủ sở hữu tài nguyên mật khẩu chứng dòng chảy, uỷ quyền đang dòng chảy, thông tin khách hàng dòng chảy, tùy chỉnh cấp dòng chảy, và lai dòng chảy? Ngoài ra cái nào là luồng OAuth và luồng nào là luồng OpenID Connect?

Cảm ơn!

Answer 1

Tôi gặp phải vấn đề tương tự, hiện tại công việc vẫn đang được tiến hành. khi tôi hoàn thành tài liệu, tôi có thể đăng nó ở đây. cho thời gian hạnh phúc: hãy kiểm tra các dự thảo:

Enrich IdentityServer Documentation with OIDC and OAuth2 Flows section #73

Cập nhật:OIDC and OAuth2 Flows

Answer 2

thấy thông số kỹ thuật - nó đã được tất cả viết ra đã:

http://openid.net/specs/openid-connect-core-1_0.html và http://tools.ietf.org/html/rfc6749

ngoài tôi vừa mới viết một bản tóm tắt mà phá vỡ nó xuống với nhiều loại ứng dụng khác nhau:

http://leastprivilege.com/2016/01/17/which-openid-connectoauth-2-o-flow-is-the-right-one/

Answer 3

Từ liên kết đầu tiên leastPrivilage của: và Aharon Paretzki's OAuth 2 Simplified

dòng chảy quyết định như thế nào ID thẻ (ví dụ mã ủy quyền) và Mã thông báo truy cập (tức là 'Token') được trả về cho khách hàng:

Authorization Mã luồng: OAuth 2.0 dòng chảy trong đó

• một Mã ủy quyền được trả về từ Authorization Endpoint
• và tất cả các thẻ (như là một Giai đoạn thứ hai, để đổi lấy mã ủy quyền) được trả lại từ Mã thông báo Endpoint
• Được sử dụng cho các cuộc gọi dựa trên máy chủ (API) có thể duy trì tính bảo mật bí mật của khách hàng của họ. Cho phép bảo mật mạnh hơn, miễn là không ai có thể truy cập "bí mật của khách hàng".

Dòng chảy ngầm: OAuth 2.dòng chảy 0 trong đó

• tất cả các thẻ được trả về trực tiếp từ Authorization Endpoint
• và không Token Endpoint cũng không một Mã ủy quyền được sử dụng.
• Được sử dụng cho các ứng dụng trên thiết bị di động và dựa trên web, không thể duy trì tính bảo mật của bí mật của khách hàng, vì vậy cần phải có mã thông báo do chính máy chủ xác thực cấp. Điều này kém an toàn hơn và bạn nên đặt máy chủ để từ chối lưu lượng ẩn các cuộc gọi sử dụng API và chỉ cho phép ứng dụng đó cho các ứng dụng dựa trên trình duyệt và trên thiết bị di động.

lai luồng: OAuth 2.0 dòng chảy trong đó

• một Mã ủy quyền được trả về từ Authorization Endpoint,
• một số thẻ được trả về trực tiếp từ Authorization Endpoint, và những người khác được trả về (dưới dạng giai đoạn thứ hai, để đổi lấy mã ủy quyền) từ Điểm cuối mã thông báo.
• Được sử dụng khi cần cả hai luồng.