- 已发运
- 2026年11月15日 02:41 UTC
- 作者
- Kamo
- 承诺
- c75df92
federation / : 一个 OIDC 依赖方 (PKCE S256 + nonce + state ) , 用于 Google / Microsoft / Apple / LinkedIn , 和适用于 GitHub ( / 用户 + 主要)的 OAuth2 适配器 /user/emails) 和 Facebook ( /me + appsecret_proof ) , 后面一个 ProviderAdapter 接口。 id_tokens 将与每个提供程序的 JWKS 进行检查 (缓存,对未知子程序的早期检索最多每分钟一次 ) , 发行者, audience/azp、expiry/iat 和 nonce ; Microsoft 的发行者与下列对照检查 令牌自己的tid和身份密钥在租户发行者 + oid上,从不在其电子邮件上。 Apple 的客户端秘密是一个 ES256 JWT,从注册表的 .p8 (150 天, 它的名字会出现一次,即 appleUser。 在 Redis ( FEDST/FEDLK/FEDSU/FEDLS)中实时启动/链接/注册记录,一次性使用, 然而,在这条路上,他却遇到了很多困难 身份)的错误不是成员的错误 - 从来没有错误的绑定后, 被拒绝的代码或伪造的令牌。 链接:查找(发送者,主题,连接密钥 ) ; 现有电子邮件回复 NOT_LINKED 并要求验证 - 密码 + 帐户的第二个因子,或 将代码发送到帐户电子邮件(5次尝试,3次发送 ) ; 从已登录会话发送链接 每次连接/断开连接都会发送邮件到账户的电子邮件地址并写入 IDENTITY_LINKED / IDENTITY_UNLINKED。 将链接的身份传递给密码 路径的下游(FederatedSignInCompleter -> 帐户门,主机/选择器规则, 访问规则,SignInCompletionService)加上组织的策略(提供商允许 为此成员的观众; MFA 要求但未注册 = 此处拒绝 ) 。 不向锁定梯级收费;而是按每个 IP 回调/链路预算收费。 客户端来自 * _ SIGNIN 类型的 PlatformOAuthClientResolver - 一个组织的 只在自己的验证域名上提供自己的应用程序 - 并且只在 config_json.signinStatus 已启用(仅限 CONFIGURED = 平台组织 ) 配置,所以没有可见的变化。