改进SPA在使用授权码流时初始页面加载速度慢
在云计算领域中，单页应用（SPA）是一种通过在浏览器中动态加载内容来提供更流畅用户体验的应用程序。然而，在使用授权码流时，SPA的初始页面加载速度可能较慢。下面是一个完善且全面的答案：
- SPA改进措施：
- 代码分割：通过将应用程序的代码分割为较小的块，并在需要时按需加载，可以减少初始加载时间。
- 资源压缩：对CSS、JavaScript等静态资源进行压缩，减少文件大小，加快加载速度。
- 缓存策略：利用浏览器缓存机制，使得页面再次访问时可以直接加载缓存的资源，而不需要重新下载。
- 预取/预加载：在初始页面加载完成后，异步加载后续页面所需的资源，提前预取或预加载，减少用户等待时间。
- 骨架屏：在页面加载过程中，先显示一个简单的骨架屏结构，再逐步填充内容，给用户一种快速加载的感觉。
- SPA的优势：
- 用户体验：SPA通过异步加载内容和无需刷新页面的特性，提供了更流畅的用户体验。
- 前后端分离：SPA将前端和后端逻辑分离，前端通过API与后端交互，提高了开发效率和可维护性。
- 前端渲染：SPA在客户端进行数据的获取和渲染，减轻了服务器压力，并提高了页面渲染速度。
- 跨平台：SPA可以适应不同的设备和操作系统，提供一致的用户体验。
- 授权码流： 授权码流是一种OAuth 2.0的授权方式，它将用户重定向到授权服务器，用户在授权服务器上登录并授权后，授权服务器返回一个授权码，客户端再使用授权码与客户端凭证向授权服务器请求访问令牌。这种方式相对于简化模式和密码模式更为安全可靠。
- 应用场景：
- 社交媒体应用：SPA的快速响应和无需刷新页面的特性适合社交媒体应用，可以提供更好的用户体验。
- 企业管理系统：SPA的前后端分离和跨平台的特性使得它成为开发企业管理系统的理想选择。
- 在线购物应用：SPA能够提供类似原生应用的用户体验，适合开发在线购物应用。
- 腾讯云相关产品和产品介绍链接：
- 腾讯云对象存储（COS）：提供安全、高可靠、低成本的云端存储服务，适合存储静态资源。链接：https://cloud.tencent.com/product/cos
- 腾讯云CDN：通过将静态资源缓存到全球分布的节点上，加速内容传输，提高页面加载速度。链接：https://cloud.tencent.com/product/cdn
- 腾讯云云服务器（CVM）：提供弹性计算能力，支持按需购买、按量计费，满足不同规模应用的需求。链接：https://cloud.tencent.com/product/cvm
- 腾讯云数据库（TencentDB）：提供关系型数据库、NoSQL数据库、缓存数据库等多种选择，支持高可用、高性能的数据存储。链接：https://cloud.tencent.com/product/cdb
总结：改进SPA在使用授权码流时初始页面加载速度慢的问题，可以通过代码分割、资源压缩、缓存策略、预取/预加载和骨架屏等方式进行优化。同时，腾讯云提供的对象存储、CDN、云服务器和数据库等产品可以帮助提升SPA的性能和可靠性。
相关·内容
1回答
将OAuth 2.0与SPA应用程序和本机应用程序一起使用的适当安全方式是什么？
关于OAuth刷新令牌是否应该存储在SPA的浏览器和本地移动应用程序中，我在堆栈溢出和供应商文档中看到了相互矛盾的意见。
例如，我这里有3个链接，其中一个是IETF，包括在应用程序中接收刷新令牌。而包括auth0在内的其他几个则建议不要在客户端接收刷新令牌。
浏览 0提问于2018-12-08得票数 0
1回答
我已经为我的应用程序设置了Azure B2C。它既有一个后端，也有一个SPA风格的前端，我希望在我必须做的一些身份验证工作中使用这两者。这意味着我需要让它们都适合我的工作流程。 ? 但问题是，在web应用程序中，重定向URI(如下所示)是作为https://localhost.com/account#id_token=xxxxxx发送的，而我希望它们是web应用程序的https://localhost.com/account?code=xxxxxx！ ? B2C区分了b/w WebApps (服务器技术)和SPA应用程序(如下所示)，所以我希望B2C能够提供适当的令牌类型(
浏览 22提问于2020-10-05得票数 0
1回答
问题：我相信我理解PKCE对隐式流的改进，但是在使用PKCE的用户机器与应用程序接收和处理后端授权代码的授权代码流之间，安全性有什么根本的区别呢？
背景：我们的团队一直在寻求在不同的产品组合中添加/实现单点登录。其中包括一个具有登录表单/cookie的旧网站，一个目前使用对称JWT的SPA/PWA，以及一个使用JWT的桌面应用程序插件。我们的Auth0价格已经不高了，所以我们希望通过微软和/或谷歌的登录来利用OpenID连接。
作为一个尝试，我们已经得到了“授权代码授予流程”与常规网络应用程序。也就是说，用户被重定向到他们完成的MS/Google登录，用授权代码重定向回来，我们的服务器接收授
浏览 9提问于2022-06-12得票数 0
我想做的是：
与dotnet核心Wep API通信的SPA。我想使用社交登录。
我想使用(服务器端)授权代码流。
我倾向于使用OpenIdDict来处理JWT令牌身份验证。
我设置了OpenIdDict的示例项目，特别是ImplicitFlow，并使其正常工作。但是，对于实际的登录过程，此示例使用重定向到授权服务器。
SPA会不会很好地为这些页面服务呢？
这似乎是以前做过的，参见：
但我不能再建立这个概念的证据了。
我想知道的是，库克斯的概念证明是否仍然是实现这一目标的道路，以及我是否通过这样的方式来做正确的事情。还是我在这里打开了一罐蠕虫，我应该只是从授权服务器加载一个页面，然后停止抱怨吗？
浏览 0提问于2017-06-05得票数 1
回答已采纳
1回答
我们有一个由ASP.NET Web支持的Angular SPA，它使用带有持有者令牌的OAuth 2.0SPA进行授权。该接口使用Microsoft.Owin.Security.OAuth实现OAuth。 我们正在尝试与使用Authorization Code Grant的第三方应用程序集成，这样用户就可以授权它代表他们访问我们的应用程序。 我们希望授权页面成为SPA的一部分，但我在弄清楚如何将授权请求从SPA提交到API并将其重定向回第三方应用程序时遇到了麻烦。 我尝试过使用AJAX (与SPA中的所有其他API请求一样)和常规HTML表单(以便重定向响应重定向页面)。 我们最初从API发
浏览 12提问于2019-02-01得票数 2
回答已采纳
OAuth 2.0规范定义了机密和公共客户端。
这是根据OAuth 2.0规范制定的处方
机密客户端- Web应用程序- Auth代码授予流程。
公共客户端-桌面应用程序、移动应用程序、SPA(单页应用程序)-隐式流。
然而，根据微软的文档，AD B2C的处方如下：
机密客户端-网络应用程序- OpenIDConnect签名(构建在auth代码授权之上)
公共客户端-桌面应用程序、移动应用程序-8月代码授予流程
公共客户端-SPA(单页应用程序)-隐式流
基于上述推论，我们对Web和SPAs很清楚，这里没有混淆。
然而，根据微软的文档，对于桌面和移动应用程序
浏览 1提问于2018-07-16得票数 6
回答已采纳
我试图在MERN SPA中实现社交登录功能，这样用户就可以使用他们的Google/Facebook/Twitter/等等登录到我的站点。这显然是一个非常常见的场景，有大量的帖子和示例讨论如何使用各种身份验证流(即授权代码流、带有PKCE的授权代码流等)来完成这一任务。
但是，对于我试图实现的流程(下面描述)，我无法思考如何在不导致用户代理刷新和丢失状态的情况下处理身份提供程序的重定向。
例如，下面是我试图实现的与Google登录的流程：
用户点击“使用Google登录”按钮，它将用户代理引导到Google的授权端点。
Google对用户进行身份验证，并使用授权代码将他们重定向回
浏览 6提问于2022-06-30得票数 3
2回答
我正在阅读网站Oauth.com，试图理解如何在单页面应用程序中实现安全性，这时我发现了以下声明：
“保护没有客户端机密的授权码授予的唯一方法是使用”“state”“参数并将重定向URL限制为受信任的客户端。由于未使用机密，因此除了使用注册的重定向URL外，没有其他方法可以验证客户端的身份。”
如果我理解正确，他说我可以使用注册重定向URL验证我的SPA的身份。
问题1:如果我将授权码重定向到url (web服务器)，如何在浏览器中运行的SPA中找回它(或访问令牌或受保护的资源)？
问题2:可以在此注册的url中执行哪种检查来验证我的SPA身份？
浏览 1提问于2020-08-21得票数 0
1回答
更新1 2021-10-24
我们正在使用两种不同的“经典”登录/注册策略，甚至在MSAL0.15之前。我们不使用自定义策略。我相信我们可以使用应用程序的清单导出它们，这会有用吗？如果我在这里发帖，我会希望编辑可识别的信息，但我不确定这是否使它们对于purpose...With对SSO毫无用处，我认为@JasSuri-MSFT的意思是，由于索赔集是相同的/相似的，策略id本身就被忽略了(为了SSO目的)？这是否有文档记载，这样我们就可以知道声明集需要有多大的不同?考虑到SSO行为，有什么方法可以让策略id本身被用来识别SSO吗？这就是我为MSAL2.x发布这个初始帖子的原因，因为在配置中可能缺
浏览 1提问于2021-10-22得票数 0
回答已采纳
在我研究和阅读微软文档之后，我无法总结如何使用outlook外接程序中的auth代码流生成访问令牌。我可以在Dialog API的帮助下，使用隐式授权流成功地生成访问令牌，它只需打开URL，我们就可以从地址栏读取访问令牌。
为了更安全起见，我正在尝试使用注册应用程序生成图形API/(自定义SharePoint站点)的访问令牌，利用auth代码流。
Azure应用程序设置:在MicrosoftGraph中添加的API权限。User.Read，Sites.Read.All重定向Web :myapp/Auth_Sites.Read.All重定向SPA :myapp/Auth_Sites.Read.A
浏览 11提问于2020-08-10得票数 2
1回答
我正在尝试为一个Xamarin.Forms POC项目实现OAuth身份验证。在iOS项目中，当我按下登录按钮时，应用程序正在重定向到单点登录页面，并正在加载登录页面，但我收到以下警告消息。如下所示
“方案=具有https架构的https本机UI！将在本机UI中加载重定向url！OAuth数据解析可能会失败！”
以下是URL的
clientId: "company ClientID",
clientSecret: "company Secret",
scope: "company p
浏览 0提问于2020-01-11得票数 0
1回答
我正在构建一个SPA (javascript)，它将调用WebAPI A (.net MVC API)，然后调用(服务器端) WebAPI B (.net MVC API)。
这三个实体都受到ADFS4 (OAuth2)的保护。在我的工作流程中，我希望WebAPI A代表登录到WebAPI的用户调用SPA B。在阅读Microsoft的各种文档时，我发现以下文章中描述的场景最适用于我的案例：
本文假设客户端应用程序可以执行授权大流。然而，在我的例子中，我处理的是一个SPA，它应该使用OAuth2的隐式流。此外，即使我想使用授权大流，我仍然需要从SPA中在ADFS的令牌端点上发布一篇文章，这是
浏览 1提问于2018-06-17得票数 0
2回答
禁用密钥披风中的刷新令牌
、、、
我们有一个角SPA，这是由OIDC授权使用隐式流。我们使用Keycloak作为授权服务器。访问令牌的寿命很短，并且通过隐藏的iframe定期刷新。
在阅读了授权代码流+ PKCE是新推荐的SPA授权方式之后，我们决定切换流。一切正常，但是每次调用令牌-端点时，Keycloak都会给我们一个刷新令牌(以及访问和ID-令牌)。由于没有存储刷新令牌的安全方法，我们希望继续使用隐藏的iframe方法刷新访问令牌。
是否有一种方法可以禁用密钥披风中的刷新令牌？还是我们遗漏了什么？在SPA中存储刷新令牌可以吗？
浏览 2提问于2020-05-15得票数 8
回答已采纳
2回答
我有一个由angular应用程序使用的.net核心2.2API项目。为了保护API，我使用了JWT。API和SPA都是内部应用程序。
我正在使用具有资源所有者密码授权类型的IdentityServer4。我听说不推荐这样做，但每个用户都分配了不同的角色，这些角色必须放在JWT的角色声明中。这允许.net核心授权数据注释授予和限制对每个路由的访问。
我现在的流程是用户登录到SPA，SPA将凭据发送到API。API使用身份来验证凭据。在成功验证时，API向IdentityServer4发送请求以获取JWT，然后将其发送回SPA。然后将JWT保存到本地存储，以便在每次请求时使用。
我想知道我是否应该
浏览 1提问于2019-05-11得票数 1
2回答
我们目前正在评估Keycloak作为我们的SSO解决方案，虽然它适用于基于servlet的应用程序，但我们的(基于反应的)SPA存在一个问题。
我们的设计师想要什么:例如，我们有一个电子邮件客户水疗中心。用户正在写一封电子邮件，但随后就分心了。当他返回时，SSO会话已经超时，需要重新登录。现在应该向用户提供一个登录表单，在登录后，应该可以发送仍然在SPA本地存储中的电子邮件(即重新登录而不重新启动SPA或丢失数据)。
AFAIK Keycloak不提供身份验证-api(出于很好的理由)，并且使用重定向到登录页面并返回到应用程序(据我了解，移动应用程序将使用系统浏览器)。如果我没有弄错，那么重定
浏览 4提问于2017-05-17得票数 11
回答已采纳
我已经开发了一个单页面应用程序(SPA)来使用JavaScript web API在Dynamic 365中从外部执行CURD操作。为此，我遵循了此URL中的说明
所有功能都工作正常，但问题是，它正在重定向到动态365站点进行身份验证。但是我想跳过这一步，它会把我带到登录页面，相反，我想在API调用中传递凭据，这样我就可以跳过手动登录部分。
浏览 2提问于2017-08-10得票数 1
1回答
我有一个通过Microsoft帐户执行用户身份验证的Angular应用程序。为此，我使用MSAL JS库，它可以很好地对用户进行身份验证。但是在我们的后端服务器需要调用Microsoft Graph API时，我们有这样的要求。现在的问题是，MSAL库返回access_token，它的生命周期是1小时，所以它一旦过期就不能在我们的后端服务器上使用。 因此，我正在寻找一种可以获得授权码的方法，该授权码可以从我们的后端服务器交换，以获得访问令牌和刷新令牌。由于我们还获得了刷新令牌，因此只要访问令牌过期，我们就可以刷新访问令牌，因为刷新令牌仍然有效。 我不确定这是否可以通过MSAL库实现，也不确定
浏览 27提问于2021-06-27得票数 3
我正在编写一个由SPA和API组成的项目。在SPA，我有一个按钮链接谷歌或微软帐户到用户的帐户。API可以随时调用google/microsoft。
我在google上成功地使用了授权代码流：
从SPA将用户重定向到具有查询参数response_type=code和access_type=offline的access_type=offline
将返回的代码发送到API
API调用以获得access_token和refresh_token
令牌保存在数据库中，可以在API需要的时候使用。
==============
微软有一个类似的授权流()，但由于CORS策略，我不能
浏览 2提问于2020-10-21得票数 0
回答已采纳
1回答
我想建立一个基于web的应用程序使用Spring Boot微服务。我计划使用OAuth2和OpenID连接在我的应用程序中实现身份验证和授权。如果我的应用程序是单页面应用程序(前端是Angular.js，后端是Spring Boot服务)，我必须选择什么授权类型来实现OAuth2？
浏览 0提问于2018-11-30得票数 0
我很难理解用户如何访问我的API过期/更新。我遵循了快速启动的方法，SPA将用户发送到托管的登录屏幕，然后用户返回到回调页面，并带有访问令牌和id令牌。
当SPA向我的API发出请求时，它在请求的“授权”头( SPA接收到的访问令牌不是有效的JWT )中发送id令牌，该API将根据我的Auth0域上的jwks文件进行验证。在验证时，API将使用id令牌上的订阅字段在其数据库中查找用户。
这工作流程正确吗？令牌到期如何管理？一旦调用我的API的任何东西都有一个有效的id令牌，它就可以无限期地进行调用。
浏览 1提问于2018-06-19得票数 0
回答已采纳
我已经注册了两个应用程序，它们代表一个客户端，而另一个代表azure active directory中的后端web api。现在我有了一个angular SPA，在其中我想使用MSAL angular库来支持授权码流，使用PKCE来获得认证码并兑换它，然后获得auth_token、id_token和刷新令牌。那么这是可能的吗？我不是很确定该怎么做？
浏览 13提问于2020-11-05得票数 0
回答已采纳
我正在使用Microsoft的以下示例代码来实现我的网站(web应用程序)的身份验证：
https://github.com/Azure-Samples/active-directory-aspnetcore-webapp-openidconnect-v2/blob/master/4-WebApp-your-API/4-2-B2C
正如示例中所描述的，我已经创建了租户，即“注册和登录用户流”，并通过Azure门户注册了一个使用该流的应用程序。但是，当我使用Integration (对于注册的应用程序)时，它报告需要修复以下内容：
If you are using the authorizati
浏览 0提问于2021-08-25得票数 0
1回答
我一直在研究，它展示了如何使用从简单到我们自己授权服务器的几种场景来保护单个页面应用程序，授权服务器将身份验证委托给提供者。第一个场景使用登录用户。
假设我们将Facebook的OAuth服务器替换为我们自己的JWT服务器，并将其配置为返回一个JWT令牌。
如果SPA想要使用JWT令牌来保护通过负载在资源服务器之间的负载平衡的边缘服务器的请求，那么SPA应该使用哪个OAuth流？
另外，如果我们想要使用JWT令牌来替换spring中的默认JSESSION和CSRF支持，那么应该如何配置spring引导/ spring安全性？IIUC -- JWT令牌--可以用来替代这两个特性。
更新
根据Ma
浏览 0提问于2017-10-04得票数 3
回答已采纳
这是我目前的设置：
IdentityServer4
API (承担者认证)
SPA页面(oidc-客户端隐式流重定向到IdentityServer4快速启动UI)
本机应用程序(编写的i C#)
本机应用程序已经具有用户凭据。我想提供一个从本机应用程序到SPA页面的网页链接，但我不想强迫用户在导航到web时再次登录。相反，我想将他们当前的会话移到网页上。
是否有可能将访问令牌“注入”到oidc客户端？(使用url片段)。或者还有其他的流程或方法来完成这一工作？
浏览 0提问于2019-03-21得票数 1
回答已采纳
1回答
我们正在为公司内部使用设计一个新的web应用程序，前端将在MVC 6和Angular2中创建。这个项目相当large...analysis，显示了大约1000个表单。另外，每个终端都有有限的内存(我们还不知道确切的数量)，因为我们将通过Citrix为页面服务。
我理解Angular2是在考虑大型应用程序的情况下创建的，但我发现了一些与如此大的SPA相关的问题：
太大的主模块声明对象。需求分析中的1000种表单仅在组件中是该数量的两倍，有什么方法可以将其最小化吗？
Angular2为加载的组件预留了多少内存？检查JS堆内存。我可以看到它在堆中保留组件原型，直到路由到另一个页面。我找不到关
浏览 1提问于2016-10-14得票数 2
我已经读过很多关于隐式格兰特流以及何时应该使用它的文章，但是我不能把我的头放在一个用例上，因为在PKCEs被推荐之前，它在身份验证代码授权流上是有意义的。
到目前为止，我知道的是：
隐式授权流不如身份验证代码授权流安全；因此，与隐式授权流相比，应该首选身份验证代码授权流，除非某些特定用例除了隐式授权流之外没有其他选项。
从JavaScript中下载的S3单页应用程序将无法完成身份验证代码授权流的最后一段，因为(1)它无法在下载它的S3服务器上创建处理此问题的API，(2)它无法提出跨源请求，(3)它无法在应用程序中存储客户端机密。
因此，如果从JavaScript下载的假想的Gmail SPA
浏览 0提问于2019-09-19得票数 0
回答已采纳
现在我正在开发Office365 outlook外接程序，我需要在Office365外接程序中调用WebAPI，而WebAPI受AAD保护。若要询问，如何从Office 365加载项获取AAD令牌并可在浏览器和outlook应用程序中使用？
浏览 1提问于2017-06-06得票数 0
我很难为我的SPA应用程序找到合适的身份验证架构。
我们有
SPA ------OAuth Access Token---> Spring Boot Server
|
|
OAuth Authorization Code Flow
|
\|/
OAuth Provider
SPA能够从这个特定的oauth提供者检索OAuth访问令牌(只持续24小时)。让用户每24小时重新登录并不好，因此我们希望让spring服务器与用户保持更长时间的会话。当会话到期时，我们可以再次要求用户对OAuth提供程序进行身份验证。
此OAuth提供程序不提供刷新令牌.
SPA一旦通过身份验证，就应该与我的
浏览 3提问于2021-02-06得票数 0
1回答
我们正在使用Durandal开发一个单一页面应用程序(SPA)。我可以看到Test.html。此视图将由另一个应用程序(App2，不是SPA)通过iFrame使用。App2将通过应用程序url - http://localhost/App1/#Test直接访问Test.html。
我的问题是
由于我们有两个独立的应用程序，我如何对登录App2的用户进行身份验证，并在App2通过iFrame请求时显示视图Test.html？
浏览 2提问于2014-12-25得票数 0
我的web应用程序几乎需要4-5分钟来加载，因为我在我的索引页面上加载了大约20-30个自定义的js文件，这就是为什么它花费了太多的时间，我不能在这一点上改变路由，这是他们无论如何都要减少加载时间。
浏览 0提问于2018-10-24得票数 0
我正在使用Identity Server3在MVC应用程序中对用户进行身份验证/授权。
MVC应用程序使用来自IAppBuilder的UseOpenIdConnectAuthentication方法。
我的MVC应用程序只有一个MVC控制器，用于创建和角度应用程序。
现在，当我进行ajax调用并得到令牌已过期的响应时，我会显示一个带有重新加载按钮的弹出窗口，该按钮将用户重定向到来自HomeController的操作，该操作通过重定向通过IS3对用户进行重新授权。
我的问题是-有没有一种方法可以在不使用弹出窗口和进行重定向的情况下静默地完成这项工作？
也许在页面中有一个iFrame，它定期向该操
浏览 1提问于2016-06-07得票数 1
2回答
我正在构建一个角度SPA应用程序，并使用Okta作为一个国内流离失所者。因为它是SPA，所以我认为我需要使用隐式流。我有两个疑问-
由于在隐式流中没有发出刷新令牌，这是否意味着在令牌过期后用户将退出应用程序，并且必须再次登录？
为什么我需要在SPA的情况下使用隐式流？为什么不授权代码流？因为我同时控制着前端(SPA)和后端(REST )。例如，在Spring架构下，web应用程序授权代码流是可能的。
谢谢，pchh
浏览 4提问于2018-01-17得票数 1
我有一个SPA，它使用进行身份验证。我正在实施OAuth2的社会登录。
在服务器端呈现的应用程序中，这是社交登录的工作方式：
用户向控制器上的操作提交一个发出GET请求的表单。然后控制器将用户重定向到提供者在页面中签名。
用户向提供程序注册，然后重定向到提供的重定向URL。
重定向URL向控制器上的另一个操作发出GET请求。控制器使用查询字符串中返回的POST向提供程序发出code请求。如果POST请求成功，则对用户进行身份验证。
在我的SPA应用程序中，这就是我目前在工作中有社交标志的原因：
用户单击一个锚标记，将其带到提供程序在页面中签名。
用户向提供程序注册，
浏览 6提问于2022-10-03得票数 1
回答已采纳
1回答
隐式流现在比授权码流更流行吗？
、、、、
我开始学习OAuth2和OpenID，并且不断有一些新的问题。对他们中的许多人来说，我找到了答案，但这件事真的困扰着我。
我读到，由于安全原因，SPA使用隐式流，服务器端应用程序使用授权码。今天，SPA非常流行，开发人员可以随时使用它们，特别是新开发人员。
这是否意味着在开发新的应用程序时，隐式流实际上比授权代码更多地使用？我的理解正确吗？
另外，如果我想要高级别的安全性，并且我使用的是SPA，该怎么办？
浏览 10提问于2021-05-18得票数 0
回答已采纳
1回答
我有一个react SPA -它调用自定义的Identity Manager，如果成功，则向SPA应用程序返回一个授权码。例如： https://my-identiymanager.com/authorize?response_type=code&client_id=******&redirect_uri=https://localhost:5001&scope=openid 它起作用了，我在重定向URL中得到了一个返回的代码。现在，我想调用我的dotnetcore web api并使用此代码，以便服务器端webapi可以获取和维护浏览器会话的JWT。 这是一个有效的
浏览 21提问于2021-08-11得票数 1
我想看看Oauth2/OpenIdConnect是否适用于我们的场景。
通常，我们的客户端登录到我们的系统，创建一个会话，客户端重定向到我们的reports.aspx页面。
我们的客户很懒，他们想要一种简单的方式，通过他们供应商的网站登录我们的网站一次，而我们的供应商不想在我们已经有用户管理数据库的情况下保留用户管理数据库。
我们的客户正在与他们的供应商合作，让他们的客户应用程序通过我们的身份验证，然后他们可以被重定向到我们的reports.aspx页面。有点像单点登录。
在Oauth2规范中，有很多关于RESTful API端点的引用。如果您没有RESTful应用编程接口端点怎么办？遵循授权
浏览 0提问于2017-01-10得票数 0
当我尝试使用Authorisation_code时，它总是重定向到身份验证端点，如下所示：
这与我在这里看到的不一致，
我期望如下所示：
HTTP/1.1 302找到位置：
浏览 0提问于2016-11-02得票数 0
我正在使用示例，一切都很好。但是后来我看到我已经创建了两个(Web & SPA)平台。所以我决定做一个清理。因为我以为我只是在使用Web平台，所以我刚刚删除了SPA。但是，麻烦来了，因为我现在总是在尝试登录时出错。
因此，这是当前的状态，当我只有一个平台启用。
使用SPA时
然后我得到
AADSTS9002325:代码交换的证明密钥是跨源授权代码赎回所必需的.
当我使用Web时
我得到：
" xxx :请求主体必须包含以下参数：'client_assertion‘或’客户端_机密‘。\r\n跟踪ID: xxx\r\n相关
浏览 7提问于2021-03-03得票数 0
回答已采纳
1回答
我正在使用dotnetopenauth和google api。我的问题是从我保存的刷新令牌中获取授权码。如果我能得到那个代码，我就能得到accesstoken。我想要的是代码，而不是直接访问。我找不到任何可以从我的刷新令牌中返回授权码的端点方法或url。提前感谢
浏览 2提问于2013-01-09得票数 0
回答已采纳
1回答
我现在正在用Vue.js构建一个SPA(单页应用程序)，
并将有一些行政网页，授权人可以访问它。
Vue前端服务器将使用REST与后端Express.js服务器通信。
在这种情况下，我认为SPA是一个立即加载并对其作出反应的概念，而不是像传统的那样在服务器上运行代码并将其抛出HTML、，所以管理页面将在源代码中，即使这些信息是由ajax(Ajax)授权的，我明白吗？
因此，即使我使用Vue-路由器beforeEach授权，也有人可以看到管理页面的帧，对吗？
如果是的话，是否有更好的方法来阻止他们的访问？
浏览 1提问于2021-02-26得票数 0
回答已采纳
1回答
我现在遇到过几次在我的SPA应用程序中需要Password Grant flow的场景。
例如，一个用户使用MSALjs登录到我的单页面应用程序(SPA)。它们对我的服务调用的所有API都将在该用户上下文中。应用程序中有一部分需要用户将设备交给另一个人，以授权某些特定功能(如覆盖或签名)。一旦该操作完成，所有操作都将在原始用户上下文中继续。
如果MSAL能够处理该用例多个会话，那就太好了。今天，我们通过创建一个API来处理这个问题，该API接受其他用户的凭据，并在幕后使用Password Grant Flow。
有没有人知道MSALjs中有什么客户端功能允许SPA同时拥有多个用户会话？这样，我
浏览 4提问于2020-02-01得票数 2
使用简单的后端(如Spring)和SPA前端和OAuth2 auth提供者，基于http会话实现授权的正确方法是什么？
使用术语“正确”，我指的是模拟用户获取会话cookie的后端的方法。
不幸的是，到处都有“可伸缩、restful、无状态”的JWT炒作。但是我的应用程序将被很少的用户使用，它只需要由http会话提供的普通的、好的安全性。目前Okta解决方案提出的“建议”导致对每个API请求进行验证，因此每个调用都有很大的开销，这导致性能不佳。
假设我们在myapp.com上公开了SPA应用程序，并且它的后端通过myapp.com/api在代理上公开。
我想的是这个场景的实现：
用户访问S
浏览 0提问于2019-04-01得票数 1
回答已采纳
我正在尝试使用adal js在angular js中实现隐含流，但它只获取id令牌，因为登录只使用ID令牌执行，我还可以看到在azure中上传元数据以支持隐式流的语句，这将处理访问令牌发布部分，在这种情况下，我使用adfs 2016，有任何选项来处理这个问题吗？
浏览 3提问于2016-12-17得票数 0
3回答
经过反复试验，在我看来，Google OIDC在没有提供客户端密钥的情况下不支持代码流：
根据SPA的最新最佳实践()，代码流+ PKCE是处理身份验证的推荐方法。有没有人知道让谷歌的代码流接受code_challenge而不是client_secret所需要的技巧？也许是一个虚拟的秘密？
浏览 17提问于2020-03-17得票数 12
我正在研究单页应用程序，它既用于移动开发(PhoneGap)，也用于常规网站。
由于应用程序可以从离线复制加载，可以从http://localhost运行，或者可以打包为在Apple或Android (等)中可见的应用程序，因此为用户设置凭据和访问资源的标准方法是不同的。
也就是说，支持本地应用程序的微软有一个完整的基础设施。 (虽然我不知道它们是否/如何处理SPA应用程序)。
问题
SPA应用程序或多或少对CSRF、XSS或其他正常攻击免疫吗？
那么嵌入在PhoneGap或其他应用程序中的SPA应用程序呢？
既然SPA应用程序可以读取传递给它的URL中的其余数据，那么手机或普通web应用程序
浏览 0提问于2013-08-26得票数 4
我想知道为什么同构的JS，比如在客户端和服务器端使用reactjs会增加第一个页面的负载？
与简单的SPA应用程序有什么不同？
在这两种情况下，我们都要加载应用程序的全部内容(例如，在build.js或bundle.js中)。那么在这两种情况下有什么不同呢？
浏览 0提问于2015-09-09得票数 2
回答已采纳
1回答
上下文
我有一个页面应用程序，它与后端REST通信。这个REST是专门为SPA服务的。为了在主页之外导航或使用SPA的任何功能，用户必须首先登录。我使用OIDC和Okta对用户进行身份验证。用户可以具有管理角色，也可以具有用户角色。它们的角色将用于授权允许导航到哪些SPA页面，以及允许它们进行哪些REST调用。
问题
用户登录后，我的应用程序将从Okta接收ID令牌和访问令牌。我可以选择将用户的角色作为自定义声明包含在ID令牌或访问令牌中。在哪个令牌中应该包含此信息？两者都有？
UI需要根据用户角色做出一些授权决策。例如，要显示或隐藏哪些HTML元素，以及哪些SPA路由可导航。
浏览 4提问于2020-07-18得票数 1
回答已采纳
我有几个问题。
授权代码流和当前
当使用授权代码流时，是否需要验证客户端的时间？在一般的OAuth提供程序实现中，从授权代码中获取访问令牌的过程只能工作一次。从这一点看，授权代码流似乎已经支持了不使用现在的重放攻击？
授权码流和ID令牌
在web应用程序中使用授权代码流有什么好处？ID令牌是一种身份验证机制，而不是授权机制，据我所知，它用于验证哪个OpenID提供者正在验证哪个用户是哪个中继方。
但在授权代码流中，
OAuth 2.0要求使用HTTPS。这样，如果正确实现了SSL证书验证，它将是有效的OpenID提供程序的证明。
在一般的OAuth提供程序实现中，当从授权代码获得访问令
浏览 3提问于2016-11-19得票数 3
回答已采纳
我想要构建一个带有(Asp.Net核心)后端的(角) SPA，并且我希望使用安全最佳实践。我的计划是：
SPA显示一个登录按钮。
单击Login按钮启动一个授权代码openid-与某些身份提供者(Google、Microsoft等)连接流。
用户通过身份提供程序进行身份验证，然后使用授权代码重定向回SPA。
然后SPA向后端发出登录请求并传递授权代码。
后端向标识提供程序发出请求，将代码交换为id_token，并为用户创建某种会话票证。
这就是我因缺乏正确的理解而陷入困境的地方。
第1期-最佳实践
上述程序是否被认为是最佳做法？还是我做错了？
问题2-身份验证票证
浏览 1提问于2020-01-22得票数 9
回答已采纳
我正在使用IDE为DotNetCore3.0中的角v8.0SPA应用程序使用“新”项目模板(VisualStudio2019)。
我要做的是在第一次加载应用程序之前保护SPA本身。这意味着:当我打开SPA (例如， )时，我希望立即被重定向到授权服务器，而不是单击将执行身份验证的按钮。
见项目结构：
我尝试过的是：
//Added this to redirect to Identity Server auth prior to loading SPA
app.Use(async (context, next) =>
{
if (!context.User.Id
浏览 8提问于2019-10-13得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
