如何在Banno登录流程中添加第三方验证的2FA？是否提供对应Auth API？

核心结论 #

Banno的Authentication框架支持第三方托管的2FA（OTP）验证流程，但需要通过其多因素认证扩展接口结合自定义身份路由实现，并非开箱即用的第三方IdP直接集成方案，需进行定制开发。

具体实现步骤 #

• 1FA验证环节：用户通过Banno标准的用户名/密码接口完成首次验证，验证通过后，Auth API会返回temp_session_token（临时会话令牌），此时会话处于「待MFA验证」状态。
• 触发第三方2FA重定向：拿到临时会话令牌后，调用Banno的/auth/mfa/redirect接口，传入第三方OTP验证页面的回调地址。Banno会生成授权跳转链接，将用户重定向至你的第三方2FA界面。
• 第三方OTP验证与会话激活：第三方系统完成OTP验证后，需调用Banno的/auth/mfa/verify接口，传入temp_session_token、验证通过的OTP凭证以及第三方系统的身份签名（需提前在Banno开发者平台注册获取client_id和client_secret）。验证通过后，Banno会返回正式的access_token和刷新令牌，用户即可访问Banno资源；验证失败则直接终止会话，拒绝登录请求。

关键配置要求 #

• 第三方2FA系统必须在Banno开发者平台完成身份注册，获取专属的身份凭证用于接口校验。
• 第三方OTP验证页面的域名需加入Banno的「可信域名列表」，否则重定向会被拦截。
• temp_session_token有效期为5分钟，需确保用户在此窗口内完成OTP验证。

内容的提问来源于stack exchange，提问作者Julia