passport.js - 使用 Azure AD 强制重新进行身份验证

Question

我在后端使用 passport-ad 库来保护我的端点。如何确保承载访问 token 是新的(例如发布时间在某个阈值内？)

对于我使用 MSAL 的前端，当用户尝试访问敏感信息时强制重新进行身份验证的最佳做法是什么？

Answer 1

Prompt 是一个可选参数，您可以在授权代码流中包含该参数，当客户端将用户定向到 /authorize 端点时。提示指示用户所需的交互类型。在 MSAL.NET 中，您可以从以下提示中进行选择:

• SelectAccount -> 强制 STS 显示包含用户有 session 的帐户列表的帐户选择对话框
• Consent -> 强制提示用户同意，即使之前已同意也是如此
• ForceLogin -> 该服务将始终提示用户输入凭据，即使不是必需的(我认为这是你想要的，当你说“强制重新验证”时)
• NoPrompt -> 不会发送任何提示值，STS 将根据之前的 session 确定向用户显示哪个 UI

例如:

https://login.microsoftonline.com/{tenant}/oauth2/v2.0/authorize?
scope=offline_access+openid+profile
&client_id=37efsf6-14a6-44ae-97bc-6eba6916741e
&response_type=code
&redirect_uri=http%3A%2F%2Flocalhost%3A12345
&response_mode=query
&resource=https%3A%2F%2Fservice.contoso.com%2F
&state=12345
&prompt=login

更多信息 here .