Implémenter l'authentification unique et OAuth dans notre application web existante

Nous avons déjà une application web fonctionnelle avec son propre système de comptes, et nous ne vous demandons pas de la réécrire depuis le début. La tâche est différente : ajouter l'authentification unique par-dessus le comportement existant afin que les utilisateurs puissent s'autoriser via des fournisseurs qu'ils connaissent déjà. Pour les clients réguliers, ce sont des boutons de connexion sociale familiers, et pour les clients d'entreprise, la possibilité de connecter leur propre fournisseur d'identité afin que les employés puissent se connecter avec leurs identifiants professionnels. L'essence du travail est une intégration soignée et correcte, pas l'invention d'un nouvel écran de connexion : le résultat doit ressembler à une partie de l'interface actuelle, pas à un bloc ajouté sur le côté.

Plus précisément, vous devez implémenter des flux OAuth standard pour les fournisseurs sociaux et un flux SAML pour l'identité d'entreprise, gérer en toute sécurité le retour et l'échange de jetons, et garantir une actualisation fiable des jetons afin que les utilisateurs ne soient pas déconnectés en plein travail. Une partie importante de la valeur est de mapper l'identité reçue aux rôles et droits déjà présents dans l'application : un compte entrant doit tomber dans le bon groupe avec le bon accès, et les utilisateurs inconnus ou non confirmés doivent être gérés correctement. Les comptes locaux existants doivent continuer à fonctionner, et lorsque l'email correspond, nous voulons un lien raisonnable de l'identité externe à un compte existant sans créer de doublons.

Nous vous demandons de considérer la sécurité comme le sens du projet, pas comme un ajout. Nous attendons une vérification de l'état et du nonce, une protection contre la répétition et les fuites de jetons, le stockage des secrets en dehors du client, et une brève note sur la façon dont tout a été testé. Le budget et les délais sont indiqués ci-dessous, et nous sommes prêts à discuter d'un bref plan écrit avant de commencer.

— Connexion via plusieurs réseaux sociaux via OAuth, intégré dans l'interface actuelle
— Flux SAML pour les fournisseurs d'entreprise avec échange de métadonnées
— Actualisation fiable des jetons et sessions sans déconnexions forcées
— Mapping des rôles et droits de l'identité entrante à nos groupes
— Liaison aux comptes locaux par email confirmé, sans doublons
— Notes de sécurité : état, nonce, protection contre la répétition, secrets