Silent Authentication通过1px IFrame实现时的响应回传机制咨询

你想到的通过postMessage传递结果的方向是对的，但你写的示例代码确实不符合安全规范，这一场景的标准实现是基于 OpenID Connect 的静默签入规范设计的，完整逻辑如下：

核心流程 #

• 父应用先创建 1px 大小的隐藏 IFrame，将 IFrame 的 src 指向认证服务的授权端点，请求参数中必须携带prompt=none，这个参数的作用是告知认证服务无需弹出任何用户交互界面，直接基于用户在认证服务域下的已有会话返回认证结果。
• 认证服务校验用户会话有效性后，会先校验请求携带的redirect_uri是否是父应用预先在平台登记的合法回调地址，校验通过后通过 302 重定向，把认证结果（id_token、access_token、过期时间等）带到该回调地址。
• 这个回调地址是父应用自有域下的静态页面，而非认证服务动态生成的脚本页面，回调页内置固定的消息传递逻辑。

标准回调页的消息传递代码 #

你示例中的代码参数顺序和安全逻辑都有问题，标准的回调页逻辑大概是这样：

// 仅允许向预先指定的父应用源发送消息，禁止使用*通配符
const ALLOWED_PARENT_ORIGIN = "https://your-parent-app-domain.com";
// 从地址栏hash中提取认证服务返回的认证结果
const authResult = window.location.hash.slice(1);

// 向父窗口发送结构化的认证结果
window.parent.postMessage({
  type: "silent_auth_callback",
  payload: authResult
}, ALLOWED_PARENT_ORIGIN);

配套安全校验规则 #

为了避免token泄露风险，父应用接收消息时还会做多层校验：

• 首先校验消息的origin字段是否是自有回调页的可信源，不匹配直接丢弃消息
• 校验消息结构体的type是否为约定的静默认证回调类型，格式异常直接丢弃
• 拿到返回的token后，还要单独校验签名有效性、过期时间、受众（aud）字段，确认token确实是颁发给当前应用的

不直接让认证服务返回postMessage脚本的原因 #

你最初想到的实现方式存在几个明显的安全隐患：

• 认证服务动态生成脚本容易被注入恶意内容，触发XSS攻击
• 无法严格控制目标源，很容易出现滥用*通配符导致token被恶意站点窃取的问题
• 不符合OAuth2的回调地址校验规范，容易被利用触发开放跳转漏洞

内容的提问来源于stack exchange，提问作者Jan