基于Ping Identity的OIDC集成：自定义认证页面实现方案问询

背景概述 #

Enterprise-A 开发的 App-A 依托 Ping Identity 实现 OIDC 联邦认证，同时需支持 Enterprise-B 的 App-B 通过 Authorization Code Flow（包含offline_access scope）以用户名义访问 App-A 资源。核心要求为：所有认证/授权场景（无论用户直接登录 App-A，还是从 App-B 跳转而来）的登录页必须完全匹配 App-A 的产品主题与配色；且需由我方或 Ping Identity 托管符合 OIDC 标准的/.well-known/openid-configuration端点，该端点需包含authorization_endpoint、token_endpoint、userinfo_endpoint及offline_access等必填字段。

可选实现方案 #

方案1：利用Ping Identity原生定制能力（推荐） #

Ping Identity 提供成熟的登录页/授权页定制功能，可直接满足需求：

• 视觉主题定制：通过 Ping 管理控制台配置页面配色、Logo、字体、布局等，1:1匹配 App-A 的产品风格
• 页面逻辑适配：支持针对不同客户端（App-A、App-B）配置专属认证流程，确保从 App-B 跳转的请求加载定制后的页面
• 合规性保障：定制后的页面自动兼容 OIDC 标准流程，无需额外开发即可保证authorization_code的正确生成与返回，同时规避安全风险
• 低维护成本：后续主题调整直接通过控制台操作，无需修改代码

方案2：自主开发自定义登录页，对接Ping Identity认证接口 #

若需完全自主控制登录页的交互逻辑与实现细节，可采用此方案，核心流程如下：

1. 开发并托管自定义页面：基于 Angular 技术栈开发符合 App-A 主题的登录页/授权页，部署在我方服务域名下（需适配 Web、iOS、Android 多平台）
2. 更新OIDC配置端点：在/.well-known/openid-configuration中，将authorization_endpoint指向我方自定义登录页的地址
3. 对接Ping Identity认证逻辑：
   • 用户在自定义页提交账号密码后，调用 Ping Identity 的认证接口完成身份验证，获取临时凭证
   • 认证/授权通过后，我方服务按照 OIDC 标准生成authorization_code，并跳转至 App-B 的回调地址
   • 后续的token交换、userinfo查询仍通过 Ping Identity 的标准端点完成
4. 安全校验：自行处理 OIDC 流程中的state、nonce参数校验，防止 CSRF、重放攻击等安全问题

子问题针对性解答 #

a) 是否应由我方IDP（Ping Identity）为我方定制登录页及授权页？ #

完全可行，且是最优选择。Ping Identity 的原生定制能力已经覆盖了主题适配、多场景兼容、合规性保障等核心需求，无需额外开发即可稳定运行，同时大幅降低后续维护成本。

b) 能否由我方自行开发自定义主题登录页，在认证及授权成功后从IDP向App-B返回authorization_code？ #

可以实现，但需注意以下关键要点：

• 自定义登录页必须完整对接 Ping Identity 的身份验证逻辑，确保用户身份的有效性
• 需严格按照 OIDC 标准处理state、nonce等参数的校验，避免安全漏洞
• authorization_code的生成需符合 OIDC 规范，最终的令牌交换仍需通过 Ping Identity 的token_endpoint完成，不可自行生成有效令牌

内容的提问来源于stack exchange，提问作者user1220169