如何使用JSON Web Tokens实现跨系统用户免重登安全身份认证

你的判断正确性说明 #

你的判断是错误的，你设计的初步方案和常规JWT认证的安全性差距极大。
常规JWT认证流程中，你仅信任Azure AD（AAD）作为唯一身份源的认证结果，AAD本身自带多因素认证、风险登录检测、账号状态校验等安全能力，所有身份断言的可信度极高。而你的初步方案本质是把第三方系统新增为你信任的身份源，相当于你完全无条件信任第三方的用户认证结果：一旦第三方出现密钥泄露、系统被入侵、内部人员恶意操作等问题，你的系统会直接给攻击者签发合法访问token，且完全绕过AAD的所有安全校验机制，攻击面被大幅放大。

标准安全实现方案 #

你遇到的是典型的跨应用单点登录需求，不需要自研认证接口，直接基于你们已经在用的AAD能力就可以实现，全程不需要信任第三方的认证结果：

• 如果第三方应用和你方系统使用同一个AAD租户，直接采用OIDC或SAML 2.0标准单点登录流程即可。用户在第三方完成AAD登录后跳转至你方系统时，你方系统触发OIDC认证请求，AAD会直接返回已登录用户的合法身份凭证，无需用户重复输入账号密码，所有身份信息都由AAD签发，完全符合你方现有认证架构，改造成本极低。
• 如果第三方应用使用独立的身份源，可通过AAD的外部身份提供商接入能力，将第三方的身份源接入你方AAD租户，同样走标准OIDC/SAML流程。用户跳转时AAD会主动向第三方身份源校验用户登录状态，校验通过后向你方系统签发身份凭证，你方全程仅需要信任AAD的校验结果，不需要和第三方做额外的密钥交互。

原有方案如果强制落地的必要安全加固项 #

如果因为特殊原因必须采用你设计的自研接口方案，必须补充以下安全措施才能降低风险：

• 签名payload必须包含用户AAD唯一ID、时间戳、随机nonce值三个核心字段，不能仅传入用户ID/邮箱。你方收到请求后首先要调用AAD接口校验该用户存在且账号处于正常启用状态，再校验时间戳有效期不超过5分钟，同时存储nonce值至少24小时防止重放攻击。
• 第三方的签名私钥必须存储在专用密钥管理服务中，禁止硬编码在代码或配置文件中，要求至少每90天轮换一次密钥。
• 接口必须做严格的请求限流，禁止同一个第三方短时间内请求大量不同用户的token，防止攻击者遍历用户批量获取token。
• 所有请求必须走HTTPS传输，所有第三方请求、签发的token都要留全量可追溯日志。

你需要了解的核心安全要点 #

• 身份信任链不能随意扩展：原有信任链仅包含你方系统和AAD两个节点，新增第三方作为信任节点后，每个节点的安全漏洞都会传导到整个链路，能不新增就尽量不新增。
• 不要自研认证协议：OIDC、SAML等标准单点登录协议已经过全球范围内多年的安全验证，自带防重放、防篡改、身份校验等安全能力，比自研的签名逻辑安全性高几个量级，且云厂商已经做了原生实现，不需要你自己实现底层逻辑，大大降低出漏洞的概率。
• 免登不等于放弃身份校验：免登场景只是减少用户操作，不代表你可以跳过你信任的身份源的校验环节，任何时候你方系统的有效身份凭证都必须基于你信任的身份源的校验结果签发。

内容的提问来源于stack exchange，提问作者Dumas.DED