仅使用身份服务器SCIM2 API时，OAuth2登录及MFA流程设计咨询

核心结论 #

绝对不要提前生成令牌存入数据库，这会彻底破坏MFA的安全防护逻辑。正确流程是完成用户名密码验证+OTP验证后，再向身份服务器请求生成令牌。

具体实现步骤 #

• 前端收集用户输入的用户名和密码，提交到你的后端服务
• 后端通过身份服务器的接口完成用户名密码校验：
  • 借助SCIM2的/Users端点查询用户基础信息（确认用户存在）
  • 调用身份服务器提供的密码校验专用接口（SCIM2仅负责用户数据管理，不直接处理密码验证，需依赖身份服务器的认证接口），验证用户名密码的有效性
  • 注意：禁止在本地存储用户的明文密码或哈希值，所有身份校验必须委托给身份服务器，避免本地存储敏感信息带来的泄露风险
• 若用户名密码验证通过，后端触发MFA流程：
  • 调用身份服务器的MFA接口，生成并向用户绑定的渠道（邮箱/手机号）发送OTP验证码
  • 前端展示OTP输入框，用户输入验证码后提交到后端
• 后端验证OTP有效性：
  • 将用户提供的OTP发送到身份服务器的MFA验证接口，确认验证通过
• 所有验证完成后，后端发起令牌请求：
  • 使用OAuth2的资源所有者密码凭证流程，向身份服务器提交已验证的用户名、密码，以及MFA验证通过的凭证（如身份服务器返回的验证成功票据），请求生成access_token和refresh_token
  • 拿到令牌后，返回给前端供业务系统使用

关键注意事项 #

• 后端需在身份服务器注册为合法的OAuth2客户端，获取使用资源所有者密码凭证流程的权限
• SCIM2仅用于用户数据的管理（如查询用户信息、更新用户MFA绑定信息），认证逻辑（密码、MFA验证）必须依赖身份服务器的专属接口
• 全程避免在本地存储任何用户敏感身份信息，所有校验动作都通过身份服务器的API完成

内容的提问来源于stack exchange，提问作者user666