在前幾天不同的授權方式的流程當中,可以看到 access token 和 refresh token 的出現。 Access token 顧名思義,就是能夠讓使...
當 Client 向 OpenID Provider 發出請求之後,OpenID Provider 會回傳一個 ID Token 做為驗證的依據。 ID Tok...
Authorization code grant 是 OAuth 規範當中最常見也最常用的授權方式,適用於 confidential client,也就是有受...
昨天提到 要做第一件事情,就是驗證這位旅客的身份 (identity) 那麼,到底什麼是 identity 呢? Identity 是指一個人在特定情境下的...
OAuth 是一個針對存取授權的開放標準,也就是針對先前提到的 authorization 所設計的標準。 OAuth 開始於 2006 年,於 2009 年推...
OAuth 幫助 Client 解決了 authorization 的問題,也就是當使用者 (Resource Owener) 想要透過 Client 取得資源...
今天來看最後一種流程,OIDC Hybrid Flow。 OIDC Hybrid Flow 包含了 OIDC Authorization Code Flow...
在 OAuth (3) Implicit grant 當中我們可以看到 access token 其實暴露在外,因此如果要降低風險,那麼我們可以讓這個 acce...
15 - OpenID (3) - OIDC Authorization Code Flow Step 2 由 Client 將使用者導向 OpenID pr...
和 OIDC Authorization Code Flow 相比,OIDC Implicit Flow 少了 authorization code 的這個步...
今天來看看 identity management 的簡史 各家自掃門前雪時代 在軟體服務發展的早期,各家系統各自管理使用者的帳號密碼。從系統的角度來看,非常方...
OIDC Authorization Code Flow 和 Authorization Code Grant 幾乎一樣,只差在 ID token 以及有個可...
Implicit grant 是 OAuth 其中一種授權方式,過去適用於 public client,譬如單純的 SPA (Single Page Appl...
最後一週就讓我們仔細看一下 OAuth grant 以及 OIDC flow 當中各種 request & response 的結構吧 08 - OA...
驗證使用者最常見的方式就是檢查使用者在系統中的帳號與密碼,然而這樣的驗證方式在安全性方面來說相對薄弱,因為一旦密碼被竊取,那麼各種敏感的資料就會暴露出來。 因此...
前面講完了如何取得 authorization & authentication,接下來使用者就可以拿著 access token 還有 ID toke...
11 - OAuth (5) Client credentials grant 今天來看看 OAuth 最後一種 grant,Client credentia...
16 - OpenID (4) - OIDC Implicit Flow Step 2 由 Client 將使用者導向 OpenID provider,其 u...
昨天提到了幾個 identity 生命週期當中會出現的 events,今天繼續快速地來看其他 events Single Sign-On (SSO) 如果今天使...
介紹過 OAuth 四種 grants 類型以及 OpenID (OIDC) 三種 flows,今天就讓我們來看看如何挑選合適的 grant 和 flow 來...
今年以相對輕鬆的心態來完成 30 天的挑戰、紀錄 30 天的學習。很多東西寫下去之後才發現自己也沒有這麼理解,待日後持續學習幫自己解惑。 感謝一路閱讀文章的朋友...
今天要來介紹 OAuth 第三種授權方式,Resource owner password credentials grant,基本上就是使用者直接將 cred...
17 - OpenID (5) - OIDC Hybrid Flow 這個 flow 和 OIDC Authorization Code Flow 主要的差別...
如果嘗試用一句簡單的話來描述 identity management 的話,那可能會是 管理一個系統,只讓取得授權的使用者,使用受保護(非公開)的資源 現實...
今天來看 OAuth 四種授權方式的最後一種。這個授權的情境主要是資源並非使用者所擁有,而是 Client 所擁有,因此當使用者想要(且有權限)存取這個資源的...
昨天提到 identity management 主要在處理的問題,超級簡化的講法就是 如何只讓「特定的使用者」取得「特定的資源」 那麼延伸出來的兩個問題就...
10 - OAuth (4) Resource owner password credentials grant Step 4 Client直接將使用者的 c...
Identity 也有其生命週期,也就是從 identity 的建立到結束的週期。在這個週期之間,可能會出現的事件有: Provisioning Author...
昨天提到了 Access Policy Enforcement 粗略的三種層級,今天繼續來看看 Access Policy Enforcement 的三個重要階...
在應用程式當中,sessions 用來記錄使用者的活動狀態。當使用者登入應用程式之後,就會產生一個 session;當使用者開始在應用程式當中活動、送出請求的時...