使用ADFS单一登录

Question

我正在寻找基于javascript（无服务器端语言）的应用程序的单点登录。

需求：

1. 代理登录Windows（用户已集成到Active Directory）
2. 打开我的网页
3. 根据谁登录到Windows，我的应用程序进入AD并提取一些用户指定的数据（例如电子邮件，电话）

我该怎么办？

根据我的理解，我将为此需要ADFS。 所以：

1. 用户转到我的网页

2. 我的网页调用了一些Web服务或Web应用程序（基于c＃构建）

3. 它将针对AD FS进行身份验证并获得索赔

4. 获取索赔中的电话号码和电子邮件，或者获取用户名并查询AD以获取电话和电子邮件

5. 将数据返回到我的网页（基于javascript）

我的理解似乎有误！！

请根据我的要求提出更合适的解决方案

Answer 1

坦白说，如果没有服务器端的处理，我想不出一种使它工作的方法。 这是因为ADFS使用的ws-federation协议不仅仅是返回声明。

这是关于重新建立SAML令牌 。 令牌包含的权利要求，但它是，它是使用XMLDSIG 签署什么才是最重要。 您将如何验证令牌是第一个大问题。 但是肯定有允许这样做的外部库。

但是，通过修改浏览器中的脚本，可以轻松绕过这种身份验证。 这是因为ws-federation在获取令牌的位置停止，然后由令牌来交换实际身份。 而且，仅在客户端进行处理时，这是行不通的。

Answer 2

ADFS 3不支持OAuth2隐式配置文件，这是一个选择，但是您仍然需要在服务器上验证令牌以避免会话固定。

您可以设置诸如AuthorizationServer之类的支持Oauth2 / OpenID Connect隐式配置文件的东西http://leastprivilege.com/2013/09/19/adding-oauth2-to-adfs-and-thus-bridging-the-gap-between-modern-应用程序和企业后端/

另一个选择是使用类似Auth0 （免责声明：我为Auth0工作）之类的东西，它也支持OAuth2 / OpenID Connect隐式配置文件。 在那种情况下，您将不需要ADFS，网络上安装了一个连接器/代理，它不需要打开防火墙或任何东西，它支持适用于JavaScript应用程序的隐式配置文件。 这是单页应用程序教程的示例（如果您创建一个帐户，它将使用您的凭据来定制文档）：

https://docs.auth0.com/singlepageapp-tutorial