Каков наилучший способ внедрения Изменения в электронной почте в SSO

Question

У меня есть централизованный поставщик удостоверений, который управляет аутентификацией пользователя по всей доске.

Другие приложения используют SSO для интеграции с сервером идентификации. (Они сопоставляют локального пользователя с пользователем единого входа, используя «электронную почту»)

Мне приходится иметь дело со сценарием, когда пользователь меняет свой адрес электронной почты в поставщике удостоверений. (Теперь эти изменения необходимо размножать во всех системах). Мне было дано два способа реализовать это.

1. Identity Server предоставляет веб-узлы, на которые могут подписаться другие приложения, когда есть изменения в электронной почте, как это происходит.
2. Использование уникальной user_id для отображения локальных пользователей SSO (Это изменение способа по электронной почте не будет влиять аутентификации)

Насколько хорошо # 2 подход? Учитывая, что мне, возможно, придется обновлять несколько таблиц при изменении адреса электронной почты.

Answer 1

Вы можете реально реализовать оба подхода, они не являются взаимоисключающими:

• Разоблачение webhooks для приложений, чтобы подписаться на обновления профиля пользователя может позволить им всегда иметь последнюю информацию профиля без необходимости пользователей повторной аутентификации или чтобы опросить поставщика удостоверений для изменений.
• Наличие уникального неизменяемого идентификатора пользователя, не связанного с информацией профиля, такой как электронная почта, как правило, является хорошей практикой. Это позволяет отделять идентификаторы от электронной почты и позволяет внедрять SSO без утечки электронной почты пользователей в приложения, которые их не должны иметь, что особенно важно при выполнении SSO для ненадежных сторонних приложений.

В качестве конкретного примера, Auth0 (отказ от ответственности - я работаю Auth0) реализует второй подход к его встроенным хранилищу идентификаторов, но может также реализовать первый подход, чтобы упростить распространение модификаций профилей пользователей.