如何基于应用或Client ID配置登录页展示的Identity Providers？

核心配置逻辑 #

本质就是给指定Client ID绑定专属的IdP白名单，让身份认证服务在处理该Client的登录请求时，只加载并展示白名单内的IdP选项。

具体实现方案（按主流身份服务分类） #

1. Keycloak 配置步骤 #

• 登录Keycloak控制台，进入目标Realm
• 点击「Clients」，选中需要配置的Client（比如Client A）
• 切换到「Identity Providers」标签页
• 在「Associated Identity Providers」区域，只勾选IdP1和IdP2，取消其他IdP的关联状态
• 保存后，该Client的登录页面只会显示已关联的两个IdP

2. Auth0 配置步骤 #

• 进入Auth0管理后台，打开「Applications」菜单，选择目标Client
• 切换到「Connections」标签页
• 在「Social」或「Enterprise」分类下，仅开启IdP1和IdP2的连接开关，关闭其他所有连接
• 保存设置后，该Client的登录界面将只展示启用的两个IdP

3. 自定义身份服务（OIDC/SAML架构） #

如果是自研的认证服务，需要做以下改造：

• 在客户端配置表中新增allowed_idps字段，存储该Client允许的IdP标识（例如["idp1", "idp2"]）
• 登录页面的后端接口，在获取Client信息时同步拉取其allowed_idps对应的IdP详情
• 前端渲染登录界面时，仅渲染白名单内的IdP入口按钮
• 关键校验：在授权端点增加校验逻辑，防止用户通过直接调用接口跳过IdP筛选，确保只有白名单内的IdP能处理该Client的认证请求

验证与注意事项 #

• 配置完成后，用Client A的凭证发起登录请求，确认页面仅显示目标IdP
• 确保不同Client的IdP配置完全隔离，避免出现跨Client的IdP泄露
• 若需频繁调整IdP列表，可将配置存储到数据库或配置中心，实现动态加载无需重启服务

内容的提问来源于stack exchange，提问作者ShiBil PK