- Shipped
- 15 Kasım 2026 02:41 UTC
- Author
- Kamo
- Commit
- c75df92
federasyon /: Google için bir OIDC güvenen taraf (PKCE S256 + nonce + state) / Microsoft / Apple / LinkedIn, ve GitHub için OAuth2 adaptörleri (/user + primary verified /user/emails) and Facebook (/me + appsecret_proof), behind one ProviderAdapter arayüzü. id_tokens her sağlayıcının JWKS ile karşılaştırılır Bilinmeyen bir çocuğa en fazla dakikada bir kez ertelenmiş, ertelenmiş, ertelenmiş, ertelenmiş audience/azp, expiry/iat ve nonce; Microsoft'in yayımcısı aşağıdakilerle karşılaştırıldı Token'ın kendi tid ve kimlik anahtarı kiracı çıkarıcı + oid'de, asla e-postasında. Apple'nin istemci sırrı, kayıt sisteminin .p8 (150 gün, cached); adı bir kez gelir, appleUser olarak. Başlat/bağlantı/kayıt kayıtları Redis'da canlı (FEDST/FEDLK/FEDSU/FEDLS), tek kullanımlık, Geri kalan TTL'leri (ve kanıtlanmış Kimlik) üyenin hatası olmadığı için - asla yanlış bir bağlama sonrasında, Reddedilen bir kod ya da sahte bir işaret. Bağlantı: (gönderici, konu, bağlantı_anahtarı) ile arama; mevcut bir e-posta cevabı NOT_LINKED ve kanıt gerektirir - parola + hesabın ikinci faktörü, ya da ACCOUNT e-postasına kod (5 deneme, 3 gönderme); kayıtlı bir oturumdan LINK Her bağlantı/bağlantı kesme hesabın e-posta adresini gönderir ve IDENTITY_LINKED / IDENTITY_UNLINKED. Bağlantılı bir kimlik şifreye verilir yolun aşağısı (FederatedSignInCompleter -> hesap kapıları, konuk/seçici kuralları, erişim kuralları, SignInCompletionService) artı organizasyonun politikası (sunucu izin veriyor) bu üyenin dinleyicileri için; MFA talep edildi ama kayıt edilmedi = burada reddedildi). Kilitleme merdivenine yüklenmez; bunun yerine IP başına geri çağrı/bağlantı bütçesi. *_SIGNIN türleri için istemciler PlatformOAuthClientResolver'dan geliyor - bir örgütün kendi uygulaması sadece kendi doğrulanmış alan adı üzerinde - ve sadece sunulur config_json.signinStatus ENABLED (CONFIGURED = platform org only). None is Görünür hiçbir şey değişmez.