security - OAuth 和 SSO 功能

Question

我一直在阅读有关 OAuth 的内容，发现它大致执行以下操作

- client sends request token during redirect to server
- Server displays authorization screen to resource owner
- Resource owner provides uid and pw (not passed to client)
- Server sends access token back to client
- clients then users the Access token to gain access to a 
  resource

根据我的编辑，OAuth 似乎并不存在不启用 SSO 或联合，但在某些博客暗示它确实执行 SSO

这是正确还是错误。是否可以执行SSO不需要其他协议(protocol)的帮助？

谢谢

Answer 1

是的，它支持此流程的 SSO。

我们有 2 个应用程序 A 和 B。

• 用户想要访问应用程序 A
• 他被重定向到身份提供者 (idp)
• 他使用自己的凭据登录。
• idp 发出 OAUTH token 和 cookie
• 客户端现在将 oauth token 添加到应用 A 的请求中并获得授权。
• 当客户端想要访问应用程序 B 时，他会再次重定向到 idp
• 在此对 idp 的调用中，添加了 idp 在应用 A 的流程中返回的 coockie。
• 因此，idp 会立即返回应用 B 的 token ，客户端无需再次登录。
• 客户端现在可以使用新创建的 token 访问应用 B。

希望这个示例流程能让大家更清楚。