繁體中文（香港）

SSO SAML

IdP 發起的 SSO vs SP 發起的 SSO

了解 IdP 發起的 SSO 和 SP 發起的 SSO 之間的差異，以及為什麼 SP 發起的 SSO 更加安全。

Simeng

Developer

10/18/2024

Stop wasting weeks on user auth

Launch secure apps faster with Logto. Integrate user auth in minutes, and focus on your core product.

Get started

IdP 發起的 SSO vs SP 發起的 SSO

术语

身份提供者 (IdP): 存储和验证用户身份的服务。
服务提供者 (SP): 向用户提供服务的网站或服务。
单点登录 (SSO): 一种会话和用户身份验证服务，允许用户使用一组登录凭据（例如，名称和密码）访问多个应用程序。
SAML: 安全断言标记语言是一种开放标准，用于在各方之间交换身份验证和授权数据，特别是在身份提供者和服务提供者之间。它是 SSO 常用的协议。一旦用户成功通过 IdP 验证，IdP 会向 SP 发送 SAML 断言，SP 验证该断言并授予用户访问权限。
OIDC: OpenID Connect 是一种更现代和更安全的 SSO 协议。它构建在 OAuth 2.0 之上，提供了一种根据 IdP 执行的身份验证来验证用户身份的方法。一旦用户成功通过 IdP 验证，IdP 会向 SP 发送 JWT 格式化的令牌，SP 验证该令牌并授予用户访问权限。

SP 发起的 SSO

正如其名称所示，SP 发起的 SSO 是由服务提供者启动的。用户通过访问 SP 网站上的资源开始身份验证过程。然后，SP 将用户重定向到 IdP 进行身份验证。一旦用户通过验证，IdP 生成一个令牌 (OIDC) 或 SAML 断言 (SAML)，并将其发送回 SP。SP 验证令牌或断言并授予用户访问权限。

用户访问 SP 的网站并尝试访问资源。
用户点击 SSO 提供者的登录按钮（例如 Google、Azure AD、Okta 等）。
SP 将用户重定向到 IdP 进行身份验证。
用户登录到 IdP。
IdP 将令牌或断言发送回 SP。
SP 验证令牌或断言并授予用户访问权限。

IdP 发起的 SSO

与 SP 发起的 SSO 不同，IdP 发起的 SSO 是由身份提供者启动的。用户从 IdP 的网站开始身份验证过程。通常，用户会在 IdP 的门户上找到支持的 SP 应用程序列表。用户点击 SP 应用程序后，会被重定向到 SP 的网站，并带有预验证的身份。

IdP-initiated SSO

用户登录到 IdP。
用户访问 IdP 的门户并选择一个 SP 应用程序。
IdP 验证用户的当前会话，并将用户重定向到具有预验证 SSO 身份的 SP。
SP 验证 SSO 身份并授予用户访问权限。