oauth-2.0 - 授权代码流与可信应用程序的资源所有者密码授予

Question

我在尝试解决这个问题时遇到了问题...
授权代码流似乎是针对 3rd 方应用程序的，这就是为什么让用户在授权服务器上授予应用程序权限的原因。

当用户登录时，授权服务器打开一个 session ，这样用户如果使用另一个 3rd 方应用程序就不需要再次登录，但是他们可能需要授予该应用程序权限，但不提供用户名/密码到授权服务器的 session cookie。

但是，对于身份提供者提供的受信任应用程序，他们通常使用资源所有者密码授予，因为他们不想要求用户授予应用程序权限。

这就带来了一个问题，因为他们不再使用授权码流，他们不能再利用用户与授权服务器的 session cookie ......那么如何在这两种不同类型的流之间进行 SSO？

如果有一种方法可以在 AuthCode 中指定受信任的应用程序，这将不再是问题，但这不是规范提供的，也不是我所知道的任何 OAuth2/OpenID 连接软件。

第二种是与 IDP 实现一些非标准的后端通信以获取 session 信息......

我很想知道是否有人以其他创造性的方式解决了这个问题。

Answer 1

正如您所建议的，资源所有者密码凭证 (ROPC) 授权类型的一个缺点是您必须向客户端提供用户名/密码凭证，这在原则上会阻止客户端参与 SSO 系统。

您可以想出一种创造性的方法来获取 SSO token / session 并将其传递给客户端以通过“密码”字段中的 ROPC 流针对授权服务器进行验证，但您将重新发明授权代码授权以非标准方式输入自己。

简而言之:如果可以，请避免使用资源所有者密码凭据授予类型。它是 OAuth 2.0 中已弃用的授权类型，仅用于迁移场景。