openid-connect - 检查 session Iframe OpenIDConnect

Question

我有一个 RP 没有明确要求您登录的情况。但是，我查看了 Open ID Connect 的 session 管理规范，更具体地说是 check_session_iframe端点规范草案here

我想知道以下场景是否可能。我有一个 RP，它使用客户端 x 联合登录到我的 OP。即使您没有 session ID(或 sid)，我是否也可以查看客户端 (x) 是否已登录到 OP。换句话说，应用程序是否可以查看您是否与 OP 进行了 session ，这样您就不会被迫针对 OP 提示登录。

出于用户体验的原因，我想要满足的基本流程是

1)去RP。

2)检查RP是否与OP有 session 。

3) - 如果有 session ，则自动登录(不启动流程)

如果没有 session ，则不要做任何事情(即不需要提示登录)。

这样的事情可能吗？我知道如果您之前已登录，则可以获得 session 信息(通过使用给定的 session_state 和 client_id )

我查看了 IdentityServer3.Samples，更具体地说是显示如何检查 session 状态的客户端示例 here但是，这个示例似乎显示了如何在登录后检查 session 状态。我想知道是否可以在 RP 明确请求登录之前检查客户端当前是否有 session 。

Answer 1

是的，使用 prompt=none在对 OP 的授权请求中，并在 iframe 中执行。 oidc-client-js 库现在支持 querySessionStatus最近的 API:https://brockallen.com/2016/08/12/check-session-support-in-oidc-client-js/ .