Identity Server 3暗黙的な許可（mvcアプリケーション）

Question

openid仕様によると、暗黙的な許可は適切なjavascriptおよびモバイルアプリケーションであり、認証コード付与と比べると安全性が低くなります。言い換えると;私が理解する限り、それはaspnet mvcのようなサーバーベースのアプリケーションのために推奨されていません。

暗黙の流れは、主に、スクリプト言語

を使用してブラウザ に実装されたクライアントによって使用されている。しかし、私は（例：https://github.com/IdentityServer/IdentityServer3.Samples/tree/master/source/MVC%20Authentication/EmbeddedMvc）MVCアプリケーションとの暗黙の補助金を使っていくつかの例を見てきました。だから私は混乱している。

mvcアプリケーション（特にsso目的）の暗黙的な許可を使用して正しい（安全な）のですか？

そうでない場合、認証コードの流れを処理するmvcクライアントアプリケーションのためのowinミドルウェアはありますか？

Answer 1

です。あなたがやっていることがすべて認証であれば、暗黙のうちにいいです。アクセストークンも取得している場合は、暗黙的にアクセストークンをブラウザーとユーザーに公開します。だからあなたがあなたのJSでそのアクセストークンを使うつもりならば、APIはブラウザから直接アクセスするようにすでに設計されているという心配はありません。しかし、あなたのAPIがブラウザからアクセスできない場合は、ハイブリッドフローにより、アクセストークンがブラウザ、JS、およびユーザに見えなくなります。