- Shipped
- 2026년 11월 15일 오전 2:41 UTC
- Author
- Kamo
- Commit
- c75df92
federation/: Google에 대한 OIDC 의존 파티 (PKCE S256 + nonce + 상태) / Microsoft / Apple / LinkedIn, 그리고 GitHub 용 OAuth2 어댑터 (/user + primary verified /user/emails) 및 Facebook (/me + appsecret_proof), 하나 뒤에 ProviderAdapter interface. id_tokens 는 각 공급자의 JWKS에 대해 검사됩니다 (캐시, 알 수 없는 아이에 대한 일찍 검색 최대 분당 한 번), 발행인, audience/azp, expiry/iat 및 nonce; Microsoft의 발행자는 다음과 비교하여 검사됩니다 테넌트 발행자 + oid에 토큰의 자체 tid 및 ID 키, 이메일에 결코. Apple의 클라이언트 비밀은 레지스트리의 .p8 (150 일, 캐시된); 이름은 한 번 도착, appleUser로. 시작/링크/등록 레코드는 Redis에서 실시간으로 실행됩니다(FEDST/FEDLK/FEDSU/FEDLS), 일회용, 그들의 나머지 TTL (및 입증 된)와 함께 복원하는 방법에 소비 잘못된 바인딩 이후에는 결코 - 구성원의 잘못에 대한 정체성) 거부된 코드 또는 위조된 토큰. 링크: (발행자, 제목, connection_key)로 찾기; 기존 이메일 답변 NOT_LINKED와 증명을 요구 - 암호 + 계정의 두 번째 요소, 또는 계정 이메일로 코드 보내기(5회 시도, 3회 보내기); 로그인 세션에서 링크 모든 연결 / 분리 메일 계정 이메일을 작성하고 IDENTITY_LINKED / IDENTITY_UNLINKED. 연결된 ID가 암호에 전달됩니다 경로의 다운스트림(FederatedSignInCompleter -> 계정 게이트, 호스트/픽커 규칙, 액세스 규칙, SignInCompletionService) 플러스 조직의 정책 (공급자 허용 이 회원의 청중을위한; MFA 요구하지만 등록되지 않은 = 거부 여기). 락다운 레이더에 청구되지 않으며, 대신 IP당 콜백/링크 예산으로 청구됩니다. 클라이언트는 *_SIGNIN 형식에 대해 PlatformOAuthClientResolver 에서 온다 자신의 검증 된 도메인에만 자신의 앱 - 및에서만 제공됩니다 config_json.signinStatus ENABLED (CONFIGURED = 플랫폼 기관에만 해당) 구성되어 있으므로 보이는 변경 사항이 없습니다.