.net-core - 没有重定向的 IdentityServer4

Question

我正在实现 IdentityServer4 作为我的身份验证服务。

将使用它的客户端是 Angular 应用程序。从我见过的所有示例来看，客户端都被重定向到身份服务器上托管的页面，该页面随后返回给客户端。

为了用户体验，我希望用户始终留在我的页面上。所以这引出了几个问题:

1. 身份服务器 UI 能否显示在站点内的 DIV 或 iframe 中？我猜 iframe 有点令人不悦？

2. 如果上述不可能，是否可以在客户端应用程序而不是身份服务器上托管登录 UI？

我认为这更多是用户体验组的问题，但我认为将用户保留在网站内会带来更好的用户体验，而不是完全重定向他们？

Answer 1

用户体验问题取决于很多因素，而用户体验必须受到安全考虑的影响。

如果您完全拥有客户端和身份服务器，则可以使用 ResourceOwnerPasswordFlow，它不涉及重定向，并允许您的客户端获取用户名/密码并使用它们获取访问 token .

如果您不拥有客户端，和/或不信任它的凭据，则不建议使用这种流程。想象一下这样的情况:网站将其登录过程委托(delegate)给 Google/Facebook 之类的机构……作为身份 (Google/Facebook) 的所有者，您真的不希望您的客户将密码输入到某些网站中。随机网站。相反，您可以使用重定向流来提供熟悉且可信的 URL，客户会更乐意在其中输入其详细信息。

因此，重定向的问题并不是一个简单的“它会带来糟糕的用户体验”，因为在许多情况下，如果重定向带来了增强的安全感，那么涉及重定向是更好的用户体验。