authentication - 自定义 OIDC 登录页面 - 身份服务器或客户端应用程序服务器上的主机？

Question

大多数 IDAM 服务器（Identity Server 4、Gluu、云服务）提供了一种在实际身份服务器上托管登录 UI 的方法。可以自定义此登录页面，以便可以将其标记为您的网站。这适用于安全流程，因此当您到达授权端点时，您将被重定向到您的身份服务器/登录页面。

但是您可以在客户端应用程序上托管登录页面吗？

如果是这样：

1. 这是可取的吗？
2. 这比在身份服务器上托管登录 UI 更安全/更安全吗？
3. 这会破坏像 OIDC / Auth 2.0 授权代码流这样的安全流标准吗？
4. 这会简单地调用一个 API 来进行身份验证吗？例如，托管在身份服务器上的一个。有些人似乎支持这一点，但与现有的安全流程相比，这似乎有点陈旧/不安全。

谢谢。

Answer 1

并非如此：（联合）单点登录 (SSO) 的意义在于，人们可以使用单个凭据跨不同域登录，而无需将该凭据泄露给每个域/应用程序。

用户在一个地方对一台服务器使用这些凭据，仅用于受信任的一方。身份提供者。身份提供者随后会创建一个派生令牌，供第 3 方应用程序使用，因为后者信任前者这样做。

如果所有应用程序与身份提供者属于同一个域，则上述论点不再成立，但不使用 SSO 仍然意味着您必须一个一个地单独登录每个应用程序。