Хорошо ли внедрять OAuth для единого входа?

#node.js #express #oauth #oauth-2.0 #single-sign-on

#node.js #выражать #oauth #oauth-2.0 #единый вход в систему

Вопрос:

Я хотел бы создать поддержку единого входа для своих продуктов. Я планирую сделать вход в систему OAuth вместо обычного входа в систему. Хорошо ли реализовать OAuth для моего собственного входа на сервер?

И если все в порядке, как я должен реализовать OAuth и как поддерживать сеансы единого входа в разных продуктах?

Использование Node.js , Express.js .

Ответ №1:

На самом деле OAuth2 — это делегированная авторизация, SSO — это идентификация, поэтому вам лучше взглянуть на OpenID Connect.

1. я не использую какой-либо сторонний сервис для входа в систему. ИТАК, для входа на свой собственный сервер я должен использовать OpenID или лучше поддерживать сеансы для единого входа и использовать обычный поток входа для аутентификации и авторизации?

Ответ №2:

Обязательно взгляните на спецификацию, если вы решите внедрить OAuth.

Спецификация OAuth 2.0: https://www.rfc-editor.org/rfc/rfc6749

Хорошо ли реализовать OAuth для моего собственного входа на сервер?

Вы спрашиваете, следует ли вам внедрять OAuth самостоятельно или использовать сервис или продукт?

Отказ от ответственности: я работаю на Ping Identity

У Ping Identity есть бесплатная пробная версия, которую вы можете оценить, если решите пойти по этому пути. там очень много безопасности, поскольку это был протокол, который постоянно совершенствовался в течение последнего десятилетия или около того. https://developer.pingidentity.com/en/signup.html

1. Я хочу создать свой собственный сервер OAuth и использовать его для своего собственного продукта. Я имею в виду, что в продукте вместо обычного потока входа в систему я буду использовать тип предоставления пароля для входа в систему. Будет ли это хорошим подходом? Или я должен использовать обычный поток входа в систему?

2. Если вы создаете свой собственный сервер, совместимый с OAuth2, вы должны полностью реализовать спецификацию!

3. @BernhardThalmayr рекомендуется ли использовать OAuth для входа на мой собственный сервер? Это будет похоже на то , о чем просит Gmail login with google . Итак, могу ли я использовать тип предоставления пароля для входа в свою систему? или используйте обычный поток входа, соответствующий пользователю и паролю в базе данных, и аутентифицируйте их.

4. Вход в систему с помощью Google также может означать OIDC, а не OAuth2. Опять же, если вы хотите создать продукт, вам нужно реализовать спецификации.

5. Да, спасибо за напоминание. Я не пытался быть хитрым.