azure - OpenID Connect提示参数: SHOULD vs MUST

Question

OpenID Connect Implicit Client specification表示隐式客户端的可选prompt=login参数值应该提示最终用户重新进行身份验证。

解释应该以下任一内容的正确方法是:

1. prompt=login 满足SHOULD 要求的实现应在适当的时候提示用户重新进行身份验证，但在某些情况下可能不会提示用户，例如在没有事件 session 的情况下提示用户重新进行身份验证，但在用户有事件 session 时不提示。
2. prompt=login 实现满足应该要求必须提示用户重新进行身份验证。

如果实现SHOULD要求的正确方法是上面的#2选项，即始终进行身份验证，那么如何处理仅在 session 过期时提示用户进行身份验证的情况？这是省略 prompt 参数吗？

Microsoft Azure、Okta 和 Salesforce 的实现使用必须进行重新身份验证。

引用文献:

• OpenID :授权服务器应该提示最终用户重新进行身份验证。如果无法重新验证最终用户，则必须返回错误，通常为 login_required。
• MS Azure :prompt=login 将强制用户根据该请求输入凭据，从而取消单点登录。
• Okta :可以是“无”，也可以是“登录”。该值确定 Okta 是否不应提示进行身份验证(如果需要)，或强制进行提示(即使用户有现有 session )。默认:默认行为基于是否存在现有 Okta session 。
• Salesforce :授权服务器必须提示用户重新认证，强制用户重新登录。

Answer 1

对于 session 管理，您可以使用 openid spec 中定义的 max_age 参数。

在登录期间将 max_age 设置为您所需的 session 持续时间，以强制身份提供商在 session 过期时要求提供凭据。