【Passport】微軟過時的技術

標籤：

雖然已淘汰，沒來得及體驗，摘錄一段別人的文章，假裝對passport的瞭解

 

微軟在過去的驗證服務上，一直採用的Passport驗證，但已經是N年前推出來的一個軟體架構，當然也被軟體界很多地方採用到，由於很多安全問題以及隱私問題，導致05年eBay與Passport分手，相繼不少公司也與微軟驗證服務分道揚鑣。為何會這樣呢？這還得從Passport流程說起：

Passport 是基於 Cookie 的驗證服務。使用 Passport 身分識別驗證的樣本事務對話的工作方式如下：

1. 用戶端向受到保護的資源（如 http://www.contoso.com/default.aspx）發出 HTTP GET 請求。
2. 檢查客戶的 Cookie 是否具有現有的 Passport 身分識別驗證票。如果網站找到有效憑據，則網站對該客戶進行身分識別驗證。如果請求不包括有效身分識別驗證票，則伺服器返回狀態碼 302 並將客戶重新導向到 Passport 登入服務。響應在查詢字串中包含一個 URL，該URL 被發送到 Passport 登入服務以便將客戶定向回原始網站。
3. 用戶端執行重新導向操作，再向 Passport 登入伺服器發出 HTTP GET 請求，然後傳輸來自原始網站的查詢字串資訊。
4. Passport 登入伺服器向客戶提供登入表單。
5. 用戶端填寫表單，並使用安全通訊端層 (SSL) 將 POST 發送回登入伺服器。
6. 登入伺服器對使用者進行身分識別驗證並將客戶重新導向回原始 URL (http://www.contoso.com/default.aspx)。響應在查詢字串中包含一個加密的 Passport Cookie。
7. 客戶遵循重新導向並再次請求原始的受保護資源，這一次使用 Passport Cookie。
8. 起始伺服器上的 PassportAuthenticationModule 會檢測是否存在 Passport Cookie，並測試身分識別驗證。如果成功，則該請求通過身分識別驗證。

【Passport】微軟過時的技術