使用身份服务器的静默身份验证答案

【问题标题】：Silent Authentication using Identity Server使用身份服务器的静默身份验证
【发布时间】：2020-01-15 07:22:48
【问题描述】：

我正在构建一个 SPA 应用程序，并使用 IdentityServer4 进行身份验证。我将 .net core 3.0 中的新 api 授权模板用于 angular。

模板首先尝试使用 iFrame 进行身份验证，如果失败则尝试使用弹出窗口，如果失败则尝试使用重定向。我的问题是，我能否仅依靠使用 iframe 的静默身份验证，而无需备份方法。我的意思是所有浏览器都支持 iframe，并且应该适用于所有设备，我为什么要实现弹出窗口或重定向流？

【问题讨论】：

【解决方案1】：

iframe 方法仅在用户已经在 IDP 上进行会话并且满足任何最大年龄条件时才有效。

如果需要交互式身份验证，则需要重定向。

【讨论】：

还有一些浏览器（例如 firefox）会阻止对 iframe 的静默身份验证请求。可能对您的回答有益。
@VidmantasBlazevicius 我认为这可能与在身份验证 cookie 上设置的 SameSite 有关。不过，我已经在 FF 和 iOS Chrome 中报告了它。如果浏览器的行为符合规范，那么它应该可以工作，前提是您的身份服务器的身份验证 cookie 与 SameSite = Lax 或 Strict 不同。