openId - 是否可以从OpenId提供者网站启动登录？

Question

通常情况下，用户首先访问客户端网站（例如stackoverflow），然后被重定向到OpenID提供者(OP)进行身份验证，并在认证后重定向回客户端。

现在想象一下我们拥有一个充当OP的门户。登录门户后，应该显示到应用程序的链接。这些应用程序使用openID客户端管理登录。是否可以构建到应用程序(openID客户端)的链接（或重定向头）？

步骤如下：

1、刷新浏览器（删除旧的cookies等） 2、访问OpenID提供商 3、在OpenID提供商网站上登录。 4、点击个人资料中提供openID客户端机制的另一个网站的链接 5、您将立即登录，无需进一步操作。

这是可能的吗？还是我总是需要先访问openID客户端才能开始会话或类似问题？

（如果与openID v1和v2不同，希望听到相关信息）

- Janning

Answer 1

是的，这是可能的，但这不是OpenID规范的一部分，规范没有提到IDP发起的身份验证流程。技巧在于IDP。让我总结一下。

OP与用户进行两种交互：

1.要求密码。（如果OP可以使用cookie或会话值来记住经过身份验证的用户，则可以跳过后续登录中的此交互）

2.请求同意。即要求用户授权应用程序访问用户身份信息。（如果OP可以配置为跳过此步骤以允许用户设置应用程序，则也可以避免此交互）

因此，流程将按以下方式工作：

1.用户登录OP（然后OP记住了该用户）

2.用户单击应用程序，例如，应用程序将用户重定向到OP。（OP跳过身份验证，然后OP确定存在跳过此用户此应用程序的同意提示的配置，OP跳过同意）

3.OP将用户重定向回应用程序并已登录。

- SureshAtt

---

这个可以工作，但不是OP启动的。最好有类似于SAML的东西，它真正地由IdP启动（没有重定向回IdP）。 - Panu Haaramo

基本上，通过在IDP（或OP）中点击应用程序链接，它会要求SP应用程序初始化OIDC流程，但由于用户已经经过身份验证，因此用户不会看到任何提示来提供密码等，并在几个浏览器重定向后进入SP应用程序。 - user3739116