这个问题是How to pass required claims to OpenID identity provider with Azure ACS?的延续
不过,它对这个问题的看法略有不同,因此我将其作为一个新问题发布。注意:我还将其交叉发布到 the Azure Security forum但到目前为止还没有得到任何有用的意见。
Azure ACS samples表明可以向 ACS 添加任意 OpenID 身份提供商。但为了让 ACS 作为各种流行提供商的 STS 在我们的项目中真正发挥作用,我们开始让 ACS 与 MyOpenID.com 一起使用(同样,也在示例中使用)。问题也一样the good Vittorio shows ,是 MyOpenID 不会向我们提供姓名和电子邮件地址等声明,除非要求。 Vittorio 和其他人指出这是因为 MyOpenID 不支持属性交换。
不过我对此不太确定。深入研究 ACS 生成的请求 URL,我可以看到诸如 openid.ns.ax=http://openid.net/srv/ax/1.0
和 openid.ax 之类的参数.required=电子邮件、全名、名字、姓氏
。此外,openid.ax.type.email
输入为 axschema.org/contact/email
类型。这就是 MyOpenID 出现问题的地方。 MyOpenID 不理解 axschema.org 类型,因此不会返回电子邮件值。
我所知道的是 MyOpenID 理解 schema.openid.net/contact/email
类型。因此,在此基础上,我手动更改了 ACS 请求 url 以使用 openid.net 架构而不是 axschema。你瞧,MyOpenID 使用react并显示我的电子邮件地址实际上将被返回。
以下是我尝试传递到 myopenid.com/server 端点的参数列表:
- openid.ns= http://specs.openid.net/auth/2.0
- openid.mode=checkid_setup
- openid.claimed_id= http://specs.openid.net/auth/2.0/identifier_select
- openid.identity= http://specs.openid.net/auth/2.0/identifier_select
- openid.realm= https://myazurenamespace.accesscontrol.windows.net:443/v2/openid
- openid.return_to= https://myazurenamespace.accesscontrol.windows.net:443/v2/openid ...
- openid.ns.ax= http://openid.net/srv/ax/1.0
- openid.ax.mode=fetch_request
- openid.ax.required=电子邮件,全名
- openid.ax.type.email= http://schema.openid.net/contact/email
- openid.ax.type.fullname= http://schema.openid.net/namePerson
不幸的是,当响应返回到 ACS 时,它还不够好,并且 ACS 失败并显示以下错误代码:
HTTP Error Code: 400 Message: ACS30000: There was an error processing an OpenID sign-in response. Inner Message: ACS90014: Missing required field 'openid.ax.value.email'. Trace ID: f8e09e6f-0765-4370-9f03-f744cce6fa2a Timestamp: 2011-08-02 17:12:57Z
我尝试添加其他字段而不更改原始电子邮件类型,但只得到相同的错误。我开始怀疑实际上 ACS 并未完全支持 AX,并且它经过某种硬编码以仅接受某些类型的声明。
问题是:我的请求参数对您来说是否正确,还是我在这里遗漏了一些明显的东西?
注意:我的初始设置正在运行,如果我保留 ACS 请求不变,并且在 ACS 中仅为身份提供商配置单个直通规则,我可以使用 MyOpenID 通过 ACS 成功验证我的网站身份提供者。尽管 MyOpenID 不会移交,但问题仍然存在。如果 ACS 的请求未明确要求声明类型 http://schema.openid.net/namePerson
或 http://schema.openid.net/,则发送 FullName 或电子邮件至 ACS联系方式/电子邮件
最佳答案
出于安全原因,ACS 不允许调用者重新输入电子邮件地址声明。实际上,您在不知不觉中所做的尝试是来自 this paper 的攻击 4.5(OpenID 数据类型混淆)的变体。 。出于安全原因,ACS 必须确保电子邮件地址和它支持的其他 AX 声明与其所知道的类型完全匹配,否则恶意调用者可能会欺骗 ACS 并用一种声明替换另一种声明。这并不是说 ACS 不支持 AX,而是 ACS 仅支持单一声明类型(如电子邮件声明),并且与 MyOpenID 使用的声明类型不同。简而言之,这是行不通的。
关于azure - ACS 中的 MyOpenID : adding required claim types,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/6942466/