Azure Active Directory 应用程序注册如何建立信任？

Question

微软文档state：

注册你的应用程序会在你的应用程序和 Microsoft 标识平台之间建立信任关系。 信任是单向的：你的应用信任 Microsoft 标识平台，而不是相反。

这里的“信任”到底是什么意思，应用程序注册如何建立这种信任？

我理解注册的方式基本上让 AD 知道该应用程序，但是这如何使 AD（应用程序重定向到交互式登录）更值得应用程序信任？ 难道恶意广告就不能假装知道任何使用它进行登录的应用程序吗？ 难道不需要某种共享秘密来向应用程序保证广告确实是广告吗？ HTTPS 不是已经建立了这种信任吗？

反过来对我来说更有意义：AD 收到登录请求以及应用程序设置的重定向 URI。 但是，如果 AD 不知道重定向 URI，则该请求不可信，将被拒绝。

我可能误解了什么，所以有人可以解释一下这背后的想法吗？

Answer 1

在认证世界中，信任是一个复杂的词。 在我看来，处理这件事最简单的方法是以Google 登录按钮为例。 您可以使用它在几乎所有网站上使用您的 Google 帐户登录。 这是否意味着谷歌信任所有使用它的网站？ 不，当然不是。 这些网站信任谷歌吗？ 他们当然知道，如果谷歌向他们返回有关用户的正确信息，他们就看不到了。

这里的情况非常相似，因为在大多数情况下，您将使用相同的协议来实现它 (OAuth2 OIDC)。

您是对的，您需要配置 secrets 和 returnUrls 以确保 App Registration 不被用于恶意目的，但是，这不会在身份提供者和应用程序之间建立信任。 这只是保护客户的技术措施。

但是，如果您愿意，您当然可以信任该应用程序。 最常见的方法是授予它访问范围的权限，以便应用程序可以代表用户执行操作。 通常这是通过您可能知道的那些同意屏幕完成的（“授予对您的 email 和电话号码的访问权限”）。 在企业环境中，它们通常被省略，访问权限被授予admin content 。

长话短说；博士； 没有继承信任仅仅因为有一个应用程序注册，但是你可以信任一个应用程序来访问用户数据。