Implementar inicio de sesión único y OAuth en nuestra aplicación web existente

Ya tenemos una aplicación web funcional con su propio sistema de cuentas, y no te estamos pidiendo que la reescribas desde cero. La tarea es diferente: agregar inicio de sesión único sobre el comportamiento existente para que los usuarios puedan autorizarse a través de proveedores en los que ya confían. Para los clientes regulares, estos son botones de inicio de sesión social familiares, y para los clientes corporativos, la capacidad de conectar su propio proveedor de identidad para que los empleados puedan iniciar sesión con sus credenciales laborales. La esencia del trabajo es una integración cuidadosa y corrección, no inventar una nueva pantalla de inicio de sesión: el resultado debe parecer parte de la interfaz actual, no un bloque añadido al lado.

Específicamente, necesitas implementar flujos estándar de OAuth para proveedores sociales y flujo de SAML para identidad corporativa, manejar de forma segura el retorno y el intercambio de tokens, y asegurar una actualización confiable de tokens para que los usuarios no sean desconectados en medio del trabajo. Una parte importante del valor es mapear la identidad recibida a los roles y derechos ya en la aplicación: una cuenta entrante debe caer en el grupo correcto con el acceso adecuado, y los usuarios desconocidos o no confirmados deben ser manejados correctamente. Las cuentas locales existentes deben seguir funcionando, y cuando el correo electrónico coincida, queremos un enlace razonable de la identidad externa a una cuenta existente sin crear duplicados.

Te pedimos que trates la seguridad como el significado del proyecto, no como una adición. Esperamos verificación de estado y nonce, protección contra reproducción y filtración de tokens, almacenamiento de secretos fuera del cliente, y una breve nota sobre cómo se ha probado todo. El presupuesto y los plazos se enumeran a continuación, y estamos listos para discutir un breve plan escrito antes de comenzar.

— Inicio de sesión a través de múltiples redes sociales vía OAuth, integrado en la interfaz actual
— Flujo de SAML para proveedores corporativos con intercambio de metadatos
— Actualización confiable de tokens y sesiones sin desconexiones forzadas
— Mapeo de roles y derechos de la identidad entrante a nuestros grupos
— Vínculo a cuentas locales por correo electrónico confirmado, sin duplicados
— Notas de seguridad: estado, nonce, protección contra reproducción, secretos