Oauth 领先的联合身份识别技术是什么？

我需要弄清楚我们将如何为我们的应用程序进行授权和身份验证。实现授权和身份验证的前三大技术是什么？我们希望我们的应用程序不依赖于会话，更希望使用令牌。我需要创建一个身份提供者，我从来没有做过这样的事情。请帮忙

您标记的三个是最常见的：oAuth、SAML和OpenID。这3项不是“技术”，而是规范。每一个都有它的优点和缺点

如果您要实现自己的身份提供者，我更喜欢oAuth，它将更容易实现。SAML IDP要复杂得多——Shioboleth不容易实现。您可以将Spring扩展用于oAuth 2.0实现

---

HTH.

您标记的三个是最常见的：oAuth、SAML和OpenID。这3项不是“技术”，而是规范。每一个都有它的优点和缺点

如果您要实现自己的身份提供者，我更喜欢oAuth，它将更容易实现。SAML IDP要复杂得多——Shioboleth不容易实现。您可以将Spring扩展用于oAuth 2.0实现

---

HTH.

正如OhadR所说，您已经成功地在您的帖子上添加了三大标准——OAuth、OpenID和SAML。然而，我不同意他关于SAML复杂性的说法。此外，您的声明：“我们希望我们的应用程序不依赖于会话，更希望使用令牌。我需要创建一个身份提供者…”彼此之间有些不一致。你一边说“你的应用程序”，另一边说你需要“创建一个身份提供者”。。。所以，我只说一般的话。坦率地说，我为Ping Identity工作——我们销售一款名为PingFederate的产品，它可以实现所有这些功能

对于OpenID和OAuth，有很多相似之处（特别是因为OpenID Connect本质上是带有一两个扩展的OAuth2）。不同的公司以不同的方式使用这些服务（比如谷歌、Facebook和Twitter）。当然，他们都试图成为你的身份提供者，但在这三家公司中，谷歌也将允许你将其作为服务提供者使用。这两种技术都是“基于令牌的”，这意味着当您是身份提供商时，您的应用程序生成并确认用于身份验证（可能还有授权）的令牌，或者当您是服务提供商时，它在确定的时间段内与身份提供商检查该令牌的有效性

使用SAML时，您正在谈论会话（您表示不需要）。用户出现在您的应用程序中，它会发送该用户以获得该会话的身份验证，并返回一个经过身份验证的会话和一些可能的属性，以帮助您的应用程序进行授权

至于使用哪一个。。。这就是它变得更难的地方。SAML肯定在那里。几乎所有真正的服务提供商都允许您使用SAML。许多企业已经推出了身份提供者。如果您正在构建一个供企业使用的应用程序，那么让应用程序使用SAML将是安全的。可以肯定的是，OpenID和OAuth较新，因此从IdP的角度来看，提供它们的企业较少——需要配置很多（令牌和作用域的存储）。我冒昧地猜测，作为IdP使用SAML的五家企业中，只有一家（或者更少）也使用OAuth或OpenID。作为服务提供商的企业也是如此

最终，您必须根据您的用例做出决策。您是作为服务提供商还是身份提供商？您希望插入的是什么？这些企业作为服务提供商或身份提供商提供什么？您是否从SAML开始，然后在您的连接允许时扩展到OAuth/OpenID

---

祝你好运，希望我能帮上忙。

正如OhadR所说，你已经成功地为你的文章添加了三大标准——OAuth、OpenID和SAML。然而，我不同意他关于SAML复杂性的说法。此外，您的声明：“我们希望我们的应用程序不依赖于会话，更希望使用令牌。我需要创建一个身份提供者…”彼此之间有些不一致。你一边说“你的应用程序”，另一边说你需要“创建一个身份提供者”。。。所以，我只说一般的话。坦率地说，我为Ping Identity工作——我们销售一款名为PingFederate的产品，它可以实现所有这些功能

对于OpenID和OAuth，有很多相似之处（特别是因为OpenID Connect本质上是带有一两个扩展的OAuth2）。不同的公司以不同的方式使用这些服务（比如谷歌、Facebook和Twitter）。当然，他们都试图成为你的身份提供者，但在这三家公司中，谷歌也将允许你将其作为服务提供者使用。这两种技术都是“基于令牌的”，这意味着当您是身份提供商时，您的应用程序生成并确认用于身份验证（可能还有授权）的令牌，或者当您是服务提供商时，它在确定的时间段内与身份提供商检查该令牌的有效性

使用SAML时，您正在谈论会话（您表示不需要）。用户出现在您的应用程序中，它会发送该用户以获得该会话的身份验证，并返回一个经过身份验证的会话和一些可能的属性，以帮助您的应用程序进行授权

至于使用哪一个。。。这就是它变得更难的地方。SAML肯定在那里。几乎所有真正的服务提供商都允许您使用SAML。许多企业已经推出了身份提供商