Implementierung von Single Sign-On und OAuth in unserer bestehenden Webanwendung

Wir haben bereits eine funktionierende Webanwendung mit einem eigenen Kontosystem, und wir bitten Sie nicht, sie von Grund auf neu zu schreiben. Die Aufgabe ist anders: Fügen Sie Single Sign-On zu dem bestehenden Verhalten hinzu, damit Benutzer sich über Anbieter autorisieren können, denen sie bereits vertrauen. Für reguläre Kunden sind dies vertraute soziale Login-Buttons, und für Unternehmenskunden die Möglichkeit, ihren eigenen Identitätsanbieter zu verbinden, damit Mitarbeiter sich mit ihren Arbeitsanmeldeinformationen anmelden können. Das Wesentliche der Arbeit ist eine sorgfältige Integration und Korrektheit, nicht das Erfinden eines neuen Anmeldebildschirms: Das Ergebnis sollte wie ein Teil der aktuellen Benutzeroberfläche aussehen, nicht wie ein auf der Seite montierter Block.

Konkret müssen Sie die Standard-OAuth-Workflows für soziale Anbieter und den SAML-Workflow für Unternehmensidentitäten implementieren, die Rückgabe und den Token-Austausch sicher handhaben und eine zuverlässige Token-Aktualisierung sicherstellen, damit Benutzer nicht mitten in der Arbeit abgemeldet werden. Ein wichtiger Teil des Wertes ist die Zuordnung der empfangenen Identität zu den bereits in der Anwendung vorhandenen Rollen und Rechten: Ein eingehendes Konto sollte in die richtige Gruppe mit dem richtigen Zugriff fallen, und unbekannte oder unbestätigte Benutzer sollten korrekt behandelt werden. Bestehende lokale Konten müssen weiterhin funktionieren, und wenn die E-Mail übereinstimmt, möchten wir eine angemessene Bindung der externen Identität an ein bestehendes Konto, ohne Duplikate zu erstellen.

Wir bitten Sie, Sicherheit als den Sinn des Projekts zu betrachten, nicht als eine Ergänzung. Wir erwarten Status- und Nonce-Überprüfung, Schutz gegen Replay- und Token-Leckage, Speicherung von Geheimnissen außerhalb des Clients und eine kurze Notiz darüber, wie alles getestet wurde. Budget und Fristen sind unten aufgeführt, und wir sind bereit, einen kurzen schriftlichen Plan vor Beginn zu besprechen.

— Anmeldung über mehrere soziale Netzwerke via OAuth, integriert in die aktuelle Benutzeroberfläche
— SAML-Workflow für Unternehmensanbieter mit Metadaten-Austausch
— Zuverlässige Token-Aktualisierung und Sitzungen ohne erzwungene Abmeldungen
— Zuordnung von Rollen und Rechten der eingehenden Identität zu unseren Gruppen
— Bindung an lokale Konten durch bestätigte E-Mail, ohne Duplikate
— Sicherheitsnotizen: Status, Nonce, Replay-Schutz, Geheimnisse