Session OAuth2使用grant“U类型”；密码"；及；代码“；共享一个会话（隐式流、代码流）

我需要您在最佳实践和OAuth2/SSO方面的帮助

目前我有4个网站：

SSO服务器（SSO.abc.com）

使用隐式流的公司网站（www.abc.com）

使用代码流的管理网站（admin.abc.com）

使用代码流的子域（webshop.abc.com）

假设我导航到admin.abc.com。 客户端将请求授权码，我将能够使用sso.abc.com提供的登录表单上的用户凭据登录

授权后，我将在admin.abc.com上结束一个会话，在sso.abc.com上结束另一个会话

由于webshop.abc.com使用相同的SSO服务器，我将能够在该页面和管理站点之间共享会话（因为SSO会话）

但是主页希望使用/保留自己的登录表单。 所以他们的想法是，使用隐式流直接在令牌端点上进行身份验证

现在我的问题是:

我如何与www.abc.com共享（sso-）会话，因为它直接通过/token端点交换用户凭据

（我不想再次登录。）

提前谢谢

编辑：

当直接调用/Token端点时，我将尝试在sso服务器上创建会话cookie。这样我就可以从www.abc.com切换到其他页面

下一步是，从主页向sso添加/Authorize调用，以检查是否存在会话

如果是这样，我将使用AuthCode并按照代码流的方式进行

---

如果没有，我将忽略重定向并从主页上显示登录表单，然后进入隐式流。

您能否描述一下“主页希望使用自己的登录表单进行身份验证，使用隐式流验证用户凭据并直接获取令牌”的意思。更详细的信息？因为这听起来与您关于共享SSO会话的问题相矛盾。我更改了它！ThxSo www.abc.com有一个表单，它从中获取用户的凭据并将其发送到/token端点，而不发送到OAuth2身份验证端点？您想保留凭证表单还是用标准OAuth2身份验证过程替换它？完全正确。他们想保持他们的状态。他们不希望他们的网站上有任何重定向或SSO表单。