后端工作流自動(dòng)化流程編排低代碼【免費(fèi)下載鏈接】elsa-coreThe Workflow Engine for .NET項(xiàng)目地址https://gitcode.com/gh_mirrors/el/elsa-core點(diǎn)擊查看免費(fèi)下載導(dǎo)讀本文基于 elsa-core 倉(cāng)庫(kù)中 外部認(rèn)證研究文檔2026-07-24 批準(zhǔn)的修訂版展開系統(tǒng)梳理 Elsa 3.x 引入的服務(wù)器托管式外部認(rèn)證External Authentication能力如何通過Identity Provider Connection身份提供方連接將多個(gè)外部身份源首個(gè)版本為 OpenID Connect統(tǒng)一代理到 Elsa Server如何編排配置來源與數(shù)據(jù)庫(kù)來源的有效連接注冊(cè)表如何在多租戶、多節(jié)點(diǎn)環(huán)境下保證一次性授權(quán)碼、刷新令牌輪換與撤銷等安全語(yǔ)義。讀完本文你將理解該功能的模塊邊界、運(yùn)行時(shí)契約、數(shù)據(jù)模型與安全基線并能夠在自己的部署中按配置優(yōu)先方式接入外部登錄。1. 修訂決策總覽Approved Revision研究文檔在正式展開前首先給出了一組取代早期研究結(jié)論的修訂決策它們構(gòu)成了整個(gè) v1 設(shè)計(jì)的骨架管理范圍是主機(jī)級(jí)host-wideSSO 管理作用于當(dāng)前連接的 Elsa 服務(wù)器環(huán)境不存在目標(biāo)實(shí)體/環(huán)境字段記錄 ID 用于管理資源和瞬態(tài)代理狀態(tài)Connection Key連接鍵標(biāo)識(shí)持久鏈接與長(zhǎng)期會(huì)話。配置是基線Studio Override 是完整覆蓋覆蓋Override不做字段合并禁用的覆蓋繼續(xù)遮蔽配置歸檔的覆蓋揭示配置恢復(fù)后重新遮蔽。OIDC 采用精確 HTTPSdiscoveryUrl以發(fā)現(xiàn)文檔派生的信任為安全默認(rèn)值受權(quán)限門控的 Advanced 設(shè)置可在確認(rèn)與警告下覆蓋 issuer、授權(quán)/令牌端點(diǎn)或簽名密鑰回調(diào)由部署外部基地址 固定路由 不可變 Connection Key 派生上游客戶端為機(jī)密型強(qiáng)制使用 S256 PKCE支持client_secret_basic或client_secret_post。Secret Binding 聲明 Managed 或 External 所有權(quán)Managed 走 Elsa SecretsExternal 走內(nèi)置配置鍵解析器在 Studio 中只讀值。每個(gè)連接選擇 Unlinked Identity Policy未鏈接身份策略基于 matcher 的策略只選一個(gè)IExternalUserMatcher所需 claims 為臨時(shí)性單匹配則鏈接、無(wú)匹配則拒絕或創(chuàng)建、歧義/錯(cuò)誤則拒絕靜態(tài)defaultRoleIds僅作用于新建用戶。首選登錄方法只做排序/強(qiáng)調(diào)選擇器永不自動(dòng)跳轉(zhuǎn)。Elsa.Studio.Authentication.UI擁有登錄/登出外殼Settings 僅做 UI 組合與導(dǎo)航SSO 連接位于/settings/sso-connectionsLinks 與 Sessions 歸入 Security。只支持 Elsa 發(fā)起的登錄/登出上游令牌是瞬態(tài)的僅保留配置登出所需的最小受保護(hù)工件。直接 OIDC 在整個(gè) Elsa 3.x 仍然支持代理模式為推薦項(xiàng)移除屬于未來大版本決策。這一節(jié)確立了配置優(yōu)先、數(shù)據(jù)庫(kù)可選、覆蓋不合并、安全不妥協(xié)的基調(diào)后續(xù)所有章節(jié)都是對(duì)它的展開。2. 模塊與包邊界Module and Package Boundaries設(shè)計(jì)決策將功能拆分為Core/Server 模塊 適配器包 持久化包 Studio 三包層包職責(zé)Core/ServerElsa.ExternalAuthentication協(xié)議無(wú)關(guān)契約、配置來源、有效注冊(cè)表、代理服務(wù)、FastEndpoints 端點(diǎn)、安全通知、內(nèi)存開發(fā)存儲(chǔ)適配器Elsa.ExternalAuthentication.OpenIdConnect啟動(dòng)期安裝的 v1 適配器橋接Elsa.ExternalAuthentication.Secrets可選的 Elsa Secrets 綁定橋接測(cè)試Elsa.ExternalAuthentication.UnitTests/IntegrationTests單元與集成測(cè)試Studio 共享Elsa.Studio.ExternalAuthenticationRefit 客戶端、DTO、登錄方式選擇器、安全返回路徑、連接與鏈接管理、描述符驅(qū)動(dòng)表單、導(dǎo)航、共享令牌抽象Studio ServerElsa.Studio.ExternalAuthentication.BlazorServer機(jī)密客戶端交換、服務(wù)端持有令牌、Cookie 會(huì)話、回調(diào)、刷新、登出Studio WebAssemblyElsa.Studio.ExternalAuthentication.BlazorWasm公共客戶端 PKCE 交換、輪換刷新、瀏覽器令牌訪問持久化Elsa.ExternalAuthentication.Persistence.EFCore及其各數(shù)據(jù)庫(kù)提供方包獨(dú)立的ExternalAuthenticationElsaDbContext遵循Elsa.Secrets.Persistence.EFCore*約定倉(cāng)庫(kù)中的實(shí)際代碼與這一邊界一一對(duì)應(yīng)src/modules/Elsa.ExternalAuthentication/下包含 Endpoints/BrokerDiscoverLoginMethods、InitiateExternal、InitiateLocal、ExchangeToken、CompleteCallback、Logout 等、PoliciesReject、CreateUser、MatchExternalUser、ProvidersConfiguration / Database 兩個(gè)連接來源以及 Stores/InMemory 的七個(gè)內(nèi)存存儲(chǔ)Elsa.ExternalAuthentication.OpenIdConnect 提供適配器實(shí)現(xiàn)Elsa.ExternalAuthentication.Secrets 提供ElsaSecretBindingResolver。設(shè)計(jì)要點(diǎn)獨(dú)立的適配器包證明啟動(dòng)期安裝的擴(kuò)展邊界成立。外部認(rèn)證實(shí)體獨(dú)立持久化可單獨(dú)啟用而不依賴 Identity 持久化特性是否開啟。JITJust-In-Time用戶創(chuàng)建走IUserStore/IUserProvider不再與 External Identity Link 共享數(shù)據(jù)庫(kù)事務(wù)唯一索引IX_ExternalIdentityLink_Identity仲裁一個(gè)身份一條鏈接的不變式。被否決的備選方案包括并入Elsa.Identity邊界不清、共享IdentityElsaDbContext無(wú)法獨(dú)立啟用、無(wú)法對(duì)接其他用戶目錄、單一 Studio 包Server 與 WebAssembly 的會(huì)話/令牌存儲(chǔ)責(zé)任不兼容。3. 有效連接注冊(cè)表Effective Connection Registry核心抽象是把多個(gè)連接來源組合成一個(gè)有效注冊(cè)表public interface IIdentityProviderConnectionSource { string Name { get; } ConnectionSourceOwnership Ownership { get; } ValueTaskConnectionSourceSnapshot GetSnapshotAsync(CancellationToken cancellationToken default); } public interface IIdentityProviderConnectionRegistry { ValueTaskEffectiveConnectionRegistry GetHostAsync(CancellationToken cancellationToken default); ValueTaskEffectiveIdentityProviderConnection? FindByKeyAsync(string connectionKey, CancellationToken cancellationToken default); }完整簽名見 runtime-contracts.mdv1 來源為部署配置與可選存儲(chǔ)來源。語(yǔ)義要點(diǎn)記錄保留穩(wěn)定 ID邏輯 Connection Key 不可變。普通重復(fù)鍵被拒絕專門的 override 操作創(chuàng)建完整的持久化影子文檔。Disabled 遮蔽配置、Archived 揭示配置、Restore 恢復(fù)遮蔽。注冊(cè)表讀取保持read-through穿透讀取發(fā)現(xiàn)與發(fā)起直接讀當(dāng)前來源版本不依賴無(wú)界本地緩存共享單調(diào)注冊(cè)表版本為將來?xiàng)l件刷新提供支持但不構(gòu)成安全邊界——權(quán)威狀態(tài)始終來自存儲(chǔ)。之所以不用把配置拷貝進(jìn)數(shù)據(jù)庫(kù)或無(wú)限緩存 pub/sub 失效是因?yàn)榍罢邥?huì)混淆所有權(quán)并帶來密鑰遷移風(fēng)險(xiǎn)后者可能因失效丟失而暴露已禁用或過期的連接。倉(cāng)庫(kù)實(shí)現(xiàn)見 DefaultIdentityProviderConnectionRegistry.cs 與兩個(gè)來源 ConfigurationIdentityProviderConnectionSource.cs、DatabaseIdentityProviderConnectionSource.cs。4. 持久化與原子性Persistence and Atomicity存儲(chǔ)契約圍繞必需的原子操作定義而不是通用的無(wú)條件保存按版本號(hào)revision對(duì)連接做compare-and-swap變更。主機(jī)級(jí)唯一的 Connection Key 創(chuàng)建或顯式 override 創(chuàng)建。唯一元組(TargetTenantId, ConnectionKey, Issuer, Subject)的 External Identity Link 創(chuàng)建。原子 JITCreateLinkOrGetExistingAsync。原子一次性TryTakeAsync用于狀態(tài)、完成碼、預(yù)覽結(jié)果與刷新令牌輪換。EF Core 提供方用數(shù)據(jù)庫(kù)約束與事務(wù)實(shí)現(xiàn)內(nèi)存提供方在單節(jié)點(diǎn)開發(fā)與單元測(cè)試中實(shí)現(xiàn)同樣語(yǔ)義多節(jié)點(diǎn)部署必須共享提供方。為何不使用替代方案捕獲唯一性異常后獨(dú)立保存用戶/鏈接無(wú)法可靠收斂或清理孤兒 JIT 用戶直接用IDistributedCache則因標(biāo)準(zhǔn)契約不提供原子 take 或刷新令牌 compare-and-swap 而被否決。相關(guān)運(yùn)行時(shí)契約可見 runtime-contracts.md 中的IExternalAuthenticationStateStore、IExternalIdentityProvisioner等接口。5. 代理狀態(tài)與憑據(jù)模型Broker State and Credential Model代理狀態(tài)采用密碼學(xué)隨機(jī)的不可讀句柄opaque handles只持久化鍵控哈希與受保護(hù)狀態(tài)句柄被原子消費(fèi)。默認(rèn)生命周期如下工件默認(rèn)值行為提供方關(guān)聯(lián)/狀態(tài)10 分鐘回調(diào)時(shí)一次性消費(fèi)完成碼completion code60 秒令牌交換時(shí)一次性消費(fèi)預(yù)覽狀態(tài)/結(jié)果10 分鐘僅發(fā)起管理員可讀一次外部訪問令牌現(xiàn)有IdentityTokenOptions.AccessTokenLifetime默認(rèn)保持 1 小時(shí)以兼容外部刷新不活動(dòng)期現(xiàn)有IdentityTokenOptions.RefreshTokenLifetime默認(rèn)保持 2 小時(shí)外部會(huì)話最大年齡8 小時(shí)刷新輪換永不延長(zhǎng)要點(diǎn)外部訪問令牌仍是 Elsa JWT并攜帶External Authentication Session 標(biāo)識(shí)符。外部刷新令牌是不透明、綁定會(huì)話、每次使用都輪換的重用被取代的令牌會(huì)撤銷整個(gè)令牌族?，F(xiàn)有本地 JWT 刷新令牌與/identity/refresh-token端點(diǎn)保持原樣。拒絕復(fù)用無(wú)狀態(tài) JWT 刷新端點(diǎn)因?yàn)樗鼰o(wú)法強(qiáng)制連接禁用、會(huì)話年齡、聲明快照或撤銷也拒絕把完整代理狀態(tài)放進(jìn)受保護(hù)瀏覽器值因?yàn)橐淮涡韵M(fèi)與服務(wù)端撤銷會(huì)變?nèi)?。倉(cāng)庫(kù)中對(duì)應(yīng)的生命周期選項(xiàng)在 ExternalAuthenticationOptions.cs 的ExternalAuthenticationLifetimesOptionsBrokerTransactionLifetime10 分鐘、CompletionCodeLifetime1 分鐘、PreviewLifetime10 分鐘等中有直接體現(xiàn)。6. 令牌簽發(fā)重構(gòu)Token Issuance Refactoring為避免環(huán)境會(huì)話狀態(tài)并保持既有公共 Identity 契約穩(wěn)定設(shè)計(jì)把DefaultAccessTokenIssuer中JWT 構(gòu)造部分抽取為共享令牌簽發(fā)服務(wù)public sealed record TokenIssuanceContext( User User, IReadOnlyCollectionstring Roles, IReadOnlyCollectionstring Permissions, IReadOnlyCollectionClaim AdditionalClaims, string? ExternalAuthenticationSessionId); public interface IElsaTokenService { ValueTaskIssuedAccessToken IssueAccessTokenAsync( TokenIssuanceContext context, CancellationToken cancellationToken default); }IAccessTokenIssuer.IssueTokensAsync(User)簽名不變本地行為委托給共享服務(wù)。外部簽發(fā)讀取 Elsa User 的當(dāng)前 Roles外部認(rèn)證從不直接提供權(quán)限字符串——這是外部身份不是 Elsa 授權(quán)原則的落地。備選方案給IAccessTokenIssuer加破壞性參數(shù)、在新模塊中復(fù)制令牌創(chuàng)建分別因 Elsa 作為可嵌入庫(kù)的公共 API 兼容要求、以及簽名與聲明約定漂移風(fēng)險(xiǎn)而被否決。7. OpenID Connect 適配器OpenID Connect Adapter適配器基于Microsoft IdentityModel 的 OpenID Connect 協(xié)議原語(yǔ)實(shí)現(xiàn)而不是為每個(gè)連接動(dòng)態(tài)注冊(cè) ASP.NET Core 認(rèn)證 scheme。它負(fù)責(zé)精確發(fā)現(xiàn)、授權(quán)請(qǐng)求構(gòu)造、代碼交換、ID 令牌校驗(yàn)、可選 user-info 獲取、聲明投影、測(cè)試、預(yù)覽與 Elsa 發(fā)起的上游登出。安全要求對(duì)齊 OpenID Connect Core 1.0 與 OAuth 2.0 Security BCP僅授權(quán)碼流程authorization-code flow。精確提供方回調(diào) URI。state/correlation 與 nonce 校驗(yàn)。簽名、issuer、audience/authorized-party、lifetime、subject 校驗(yàn)。機(jī)密上游客戶端 強(qiáng)制 S256 PKCE。支持client_secret_basic與client_secret_post。無(wú)隱式流、無(wú)密碼授權(quán)。通過綁定并校驗(yàn) issuer 實(shí)現(xiàn) mix-up 防護(hù)。歸一化身份創(chuàng)建后丟棄刷新/提供方令牌除非配置的 user-info 獲取需要瞬態(tài)使用。拒絕動(dòng)態(tài)注冊(cè) scheme 與從零自建 JWT 校驗(yàn)原語(yǔ)的原因分別是運(yùn)行時(shí)增刪、逐租戶解析、版本綁定、草稿預(yù)覽會(huì)變得復(fù)雜且 handler 特定以及應(yīng)優(yōu)先使用受維護(hù)的 IdentityModel 校驗(yàn)。源碼印證在 OpenIdConnectExternalAuthenticationAdapter.cs 中適配器常量AdapterType openid-connect其CreateAuthorizationRequestAsync構(gòu)造的授權(quán)請(qǐng)求包含response_typecode、client_id、redirect_uri由GetCallbackUri派生、state、nonce、code_challenge與code_challenge_methodS256與文檔描述完全一致描述符將clientSecret標(biāo)記為必需 Secret Binding 字段、mode提供discovery/manual兩種信任模式signingKeys標(biāo)記為不安全字段isUnsafetrue。8. 認(rèn)證客戶端與代理端點(diǎn)Authentication Clients and Broker EndpointsAuthentication Client 是部署配置與 Elsa API Applications 相互獨(dú)立機(jī)密客戶端用 Secret Binding 做客戶端認(rèn)證公共客戶端無(wú)密鑰兩者都要求 S256 PKCE 與精確的回調(diào)/登出 URI 注冊(cè)。代理端點(diǎn)為 OAuth 形狀、位于/external-authentication下但保持 Elsa 特性化登錄方式發(fā)現(xiàn)Login Method discovery。外部與本地代理發(fā)起external / local broker initiation。每個(gè)不可變 Connection Key 的固定提供方回調(diào)。授權(quán)碼與外部刷新交換。會(huì)話登出與可選上游登出回調(diào)。否決復(fù)用 ApplicationAPI Applications 攜帶角色/權(quán)限、代表機(jī)器/API 憑據(jù)與從提供方回調(diào)直接返回 Elsa 令牌令牌會(huì)穿過瀏覽器重定向兩種方案。REST 契約細(xì)節(jié)見 rest-api.md示例——發(fā)起外部登錄GET /external-authentication/authorize/{connectionKey} ?client_idelsa-studio-wasm redirect_urihttps%3A%2F%2Fstudio.example%2Fauthentication%2Fexternal%2Fcallback response_typecode code_challenge{base64url} code_challenge_methodS256 return_path%2Fworkflows成功返回302到提供方return_path只存在于服務(wù)端持有的受保護(hù)狀態(tài)中絕不轉(zhuǎn)發(fā)給提供方。令牌交換端點(diǎn)返回{ accessToken: {elsa-jwt}, tokenType: Bearer, expiresIn: 3600, refreshToken: {opaque}, refreshExpiresIn: 7200, externalSessionExpiresIn: 28800 }完成碼無(wú)論交換成功與否都在校驗(yàn)后原子消費(fèi)重放返回400 invalid_request。刷新令牌每次響應(yīng)都輪換被取代令牌的重用會(huì)撤銷外部會(huì)話并返回401 access_denied。9. Studio 托管形態(tài)Studio Hosting Profiles兩種 Studio 宿主擁有不同的信任邊界因此采用不同客戶端模型形態(tài)客戶端代碼交換/回調(diào)所有者瀏覽器/會(huì)話結(jié)果Studio Server機(jī)密服務(wù)端客戶端BFF 風(fēng)格Studio 服務(wù)端宿主擁有回調(diào)并以 PKCE 服務(wù)端持有客戶端認(rèn)證交換提供方與 Elsa 刷新憑據(jù)留在服務(wù)端瀏覽器只得到安全、HTTP-only 的 Studio 會(huì)話 CookieStudio WebAssembly公共瀏覽器客戶端瀏覽器回調(diào)直接以 PKCE 交換不簽發(fā)也不接受客戶端密鑰Elsa 憑據(jù)由 Studio token accessor 處理絕不進(jìn)入 URL默認(rèn)僅內(nèi)存存儲(chǔ)關(guān)鍵安全細(xì)節(jié)Server 端 CookieElsaStudio.ExternalAuthenticationHttpOnlytrue、SecureAlways、SameSiteLax、需要反偽造保護(hù)、Cookie 生命周期不得超過外部會(huì)話。WebAssembly 端令牌端點(diǎn)只允許精確注冊(cè)的 origin無(wú)通配符、無(wú)帶憑據(jù)的 CORS強(qiáng)制 S256 PKCE返回輪換刷新令牌交換前事務(wù)使用sessionStorage在提供方重定向后存活、回調(diào)后被刪除交換后憑據(jù)默認(rèn)留在內(nèi)存持久化策略為顯式可配置并帶警告。部署在四種認(rèn)證提供方中選擇一個(gè)ElsaIdentity、ElsaLogin舊版、OpenIdConnect直接、ExternalAuthentication代理管理模塊可獨(dú)立安裝。同時(shí)啟用 Direct OIDC 與 Brokered 模式是啟動(dòng)配置錯(cuò)誤。被否決的方案Server 用公共瀏覽器流BFF 可避免令牌暴露給瀏覽器代碼、獨(dú)立 WebAssembly 強(qiáng)制 BFF受支持的靜態(tài)宿主部署沒有 Studio 側(cè)服務(wù)端組件。10. 本地憑據(jù)與無(wú)憑據(jù)用戶Local Credentials and Credential-less Users最簡(jiǎn)兼容模型變更User.HashedPassword與User.HashedPasswordSalt變?yōu)榭煽占嫒莸氖状芜w移兩個(gè)字段要么都存在要么都不存在。DefaultUserCredentialsValidator在任一字段缺失時(shí)返回相同的無(wú)效結(jié)果?，F(xiàn)有/identity/login與/identity/refresh-token契約不變。新增代理本地發(fā)起端點(diǎn)通過現(xiàn)有服務(wù)校驗(yàn)憑據(jù)返回與外部認(rèn)證相同的完成碼交接未鏈接/無(wú)效密碼/未知用戶/無(wú)本地憑據(jù)統(tǒng)一返回401 authentication_failed避免賬戶枚舉。JIT 使用從租戶與鏈接身份派生的內(nèi)部抗碰撞用戶名 隨機(jī)后綴提供方郵箱與顯示名只是可選檔案輸入永遠(yuǎn)不是身份鍵全局用戶名唯一性規(guī)則保留。備選方案立即抽出新表、改用戶名為租戶作用域唯一分別因可空密碼字段即可滿足 v1 而無(wú)需遷移每個(gè)本地用戶與應(yīng)作為獨(dú)立 Identity 遷移而被推遲。11. 身份鏈接與未鏈接策略Identity Links and Unlinked PoliciesExternal Identity Link 單獨(dú)持久化唯一身份元組為(targetTenantId, connectionKey, issuer, subject)。內(nèi)置策略為Reject與CreateUser選擇按連接進(jìn)行部署提供默認(rèn)值與白名單。管理員預(yù)鏈接復(fù)用與 JIT 相同的原子鏈接服務(wù)終端用戶自助鏈接不在 v1 范圍。獨(dú)立鏈接讓提供方身份與 Elsa 授權(quán)分離一個(gè) Elsa User 可以擁有多個(gè)外部身份。數(shù)據(jù)模型細(xì)節(jié)data-model.md鏈接表以SubjectHash鍵控哈希存儲(chǔ) subject只保留可選的SubjectHint掩碼提示絕非原始 subject唯一索引為(TenantId, ConnectionKey, Issuer, SubjectHash)外鍵指向同租戶 User歸檔連接保留鏈接并發(fā) JIT 與預(yù)鏈接使用同一個(gè)原子 create-link-or-get-existing 操作。12. 用戶匹配、角色供給與權(quán)限組合User Matching, Role Provisioning, and Permission Compositionmatcher 型未鏈接身份策略選擇一個(gè)已部署的IExternalUserMatchermatcher 聲明所需歸一化 claims策略臨時(shí)供給它們求值后丟棄、不持久化。單匹配提議現(xiàn)有用戶無(wú)匹配按配置的Reject/CreateUser回退歧義/錯(cuò)誤結(jié)果拒絕。v1不內(nèi)置Elsa 第一方 verified-email matcher郵箱/姓名隱式匹配默認(rèn)不可用。defaultRoleIds是靜態(tài)的只應(yīng)用于 CreateUser/無(wú)匹配回退新建的用戶保存時(shí)復(fù)用 Elsa 角色分配授權(quán)檢查角色與 User 存儲(chǔ)寫入同批提交在獨(dú)立持久化的鏈接變得持久之前不簽發(fā)憑據(jù)。匹配到的/現(xiàn)有用戶不會(huì)被修改角色v1 Studio 不提供 claim→role 或 claim→permission 映射 UI。角色刪除受到依賴保護(hù)任何數(shù)據(jù)庫(kù)或配置擁有的 CreateUser / matcher no-match CreateUser 的defaultRoleIds引用含禁用、歸檔、遮蔽、當(dāng)前無(wú)效的定義都會(huì)阻止普通刪除配置引用返回脫敏配置路徑且絕不自動(dòng)改寫部署配置授權(quán)修復(fù)命令需多重確認(rèn)先移除可編輯引用再刪除角色部分失敗時(shí)角色保持完好且可安全重試。運(yùn)行時(shí)契約中的決策記錄見 runtime-contracts.mdpublic abstract record UnlinkedIdentityDecision { public sealed record Reject(string SafeReason) : UnlinkedIdentityDecision; public sealed record CreateUser(UserCreationProposal Proposal) : UnlinkedIdentityDecision; public sealed record LinkExistingUser(string UserId, string AuthorizationBasis) : UnlinkedIdentityDecision; }內(nèi)置策略類型為reject、create-user、match-external-user對(duì)應(yīng)倉(cāng)庫(kù)中的 RejectUnlinkedIdentityPolicy.cs、CreateUserUnlinkedIdentityPolicy.cs、MatchExternalUserUnlinkedIdentityPolicy.cs。13. 秘密綁定Secret Bindings協(xié)議中立模塊定義ISecretBindingResolver返回值加不可逆的生成指紋generation fingerprintpublic interface ISecretBindingResolver { string Type { get; } ValueTaskSecretBindingState GetStateAsync(SecretBinding binding, CancellationToken cancellationToken default); ValueTaskResolvedSecretBinding ResolveAsync(SecretBinding binding, CancellationToken cancellationToken default); } public sealed record ResolvedSecretBinding(SensitiveString Value, string GenerationFingerprint);SensitiveString刻意避免有意義的ToString()輸出并在可行處處置/清除。Elsa Secrets 解析器Elsa.ExternalAuthentication.Secrets包不可變秘密名 最新激活版本。配置解析器按配置鍵解析提供方無(wú)法提供版本時(shí)代理從解析值派生鍵控指紋。綁定聲明Managed或External只有 Managed 值在 Studio 中有替換/移除生命周期操作External 值只暴露引用與配置/可解析狀態(tài)。指紋參與有效物料修訂material revision但永不返回、記錄或作為公共連接數(shù)據(jù)持久化。之所以所有解析器都要有等價(jià)輪換語(yǔ)義是為了讓回調(diào)修訂檢查不依賴提供方特定的版本特性。倉(cāng)庫(kù)實(shí)現(xiàn)見 ElsaSecretBindingResolver.cs 與 ConfigurationSecretBindingResolver.cs。14. 提供方 HTTP 安全Provider HTTP Safety對(duì)外 HTTP 使用專用命名HttpClient管道 目標(biāo)校驗(yàn)器覆蓋發(fā)現(xiàn)、令牌、user-info、測(cè)試、預(yù)覽與登出請(qǐng)求。安全默認(rèn)值默認(rèn)要求 HTTPSHTTP 僅通過顯式開發(fā)/不安全策略允許。每次 DNS 解析后拒絕私有、環(huán)回、鏈路本地、組播、保留與未指定地址。每個(gè)重定向目標(biāo)都重新解析 DNS重定向限制為 3 次且不得降級(jí) HTTPS。連接/請(qǐng)求超時(shí)10 秒。發(fā)現(xiàn)/JWKS 響應(yīng)上限各 1 MiB令牌/user-info 上限各 256 KiB?？蛇x部署白名單與出口代理優(yōu)先于連接設(shè)置。響應(yīng)體永不進(jìn)入公共錯(cuò)誤、預(yù)覽、健康詳情、日志或通知。原因是運(yùn)行時(shí)配置的權(quán)威端點(diǎn)使發(fā)現(xiàn)與測(cè)試端點(diǎn)天然具備 SSRF 能力因此出站策略必須是一等安全邊界。倉(cāng)庫(kù)中的實(shí)現(xiàn)與校驗(yàn)器包括 ProviderHttpClientFactory.cs、ValidatedOutboundConnectionFactory.cs 與 OutboundDestinationValidator.cs。15. 速率限制與公共錯(cuò)誤Rate Limiting and Public Errors與 ASP.NET Core命名速率限制策略集成提供可替換的安全參考默認(rèn)值端點(diǎn)族默認(rèn)分區(qū)默認(rèn)限制發(fā)現(xiàn)discoveryclient ID 遠(yuǎn)端網(wǎng)絡(luò)60 請(qǐng)求/分鐘外部發(fā)起client ID 遠(yuǎn)端網(wǎng)絡(luò)20 請(qǐng)求/分鐘本地發(fā)起client ID 遠(yuǎn)端網(wǎng)絡(luò) 鍵控用戶名哈希10 請(qǐng)求/分鐘提供方回調(diào)Connection ID 遠(yuǎn)端網(wǎng)絡(luò)60 請(qǐng)求/分鐘代碼/刷新交換client ID 遠(yuǎn)端網(wǎng)絡(luò)30 請(qǐng)求/分鐘429響應(yīng)包含Retry-After與安全的rate_limited類別。其他公共錯(cuò)誤類別invalid_request、method_unavailable、authentication_failed、identity_unlinked、flow_expired、flow_changed、access_denied、temporarily_unavailable、server_error每條都帶關(guān)聯(lián)標(biāo)識(shí)符correlation ID。管理 API 可額外使用not_found、validation_failed、conflict、forbidden、precondition_failed。統(tǒng)一錯(cuò)誤響應(yīng)示例rest-api.md{ error: flow_expired, message: The sign-in attempt expired. Start again., correlationId: 01JZ... }公共錯(cuò)誤不得區(qū)分未知用戶與缺失鏈接防止賬戶枚舉。倉(cāng)庫(kù)中的速率限制策略名定義于 ExternalAuthenticationRateLimitPolicyNames.cs。16. 連接測(cè)試與預(yù)覽Connection Testing and Preview連接測(cè)試只在共享存儲(chǔ)中按 Connection ID 與已測(cè)試物料修訂鍵控保存最新脫敏ConnectionObservation物料修訂變化即過期不做歷史與輪詢。測(cè)試失敗不會(huì)自動(dòng)禁用或隱藏有效的已啟用連接——啟用意圖、結(jié)構(gòu)有效性、觀察結(jié)果三者嚴(yán)格分離。預(yù)覽Preview Sign-in使用獨(dú)立的 client/callback purpose 與原子狀態(tài)/結(jié)果記錄。結(jié)果白名單包含 issuer、subject 哈?；蜓诖a subject、選中的投影 claims帶描述符脫敏、目標(biāo)租戶、提議的策略決策、提議的用戶/鏈接動(dòng)作、帶來源的權(quán)限授予與警告不可兌換為正常會(huì)話絕不創(chuàng)建用戶、鏈接、普通完成碼、憑據(jù)或會(huì)話。數(shù)據(jù)模型見>services.AddElsa(elsa { elsa.UseIdentity(identity { /* existing token options */ }); elsa.UseExternalAuthentication(external { external.Configure(options configuration.GetSection(ExternalAuthentication).BindExternalAuthenticationOptions(options)); external.UseOpenIdConnect(); external.UseElsaSecrets(); }); });配置優(yōu)先的宿主省略數(shù)據(jù)庫(kù)存儲(chǔ)注冊(cè)使用 EF Identity 持久化的宿主將外部認(rèn)證 EF 集成注冊(cè)到同一IdentityElsaDbContext。關(guān)鍵部署配置項(xiàng)ExternalAuthenticationOptions.csAuthenticationClients認(rèn)證客戶端、Connections不可變配置自有連接、EnableDatabaseConnections可選數(shù)據(jù)庫(kù)來源、AllowConfigurationConnectionOverrides是否允許數(shù)據(jù)庫(kù)覆蓋配置鍵、AllowedAdapterTypes/AllowedUnlinkedIdentityPolicyTypes擴(kuò)展白名單未鏈接策略默認(rèn)僅[reject, create-user]、UnlinkedIdentityPolicy.DefaultType默認(rèn)reject、Lifetimes、Claims、RateLimits、ProviderEgress、Redirects等。自定義擴(kuò)展通過 DI 與顯式特性方法注冊(cè)external.AddAdapterMyGitHubAdapter()、external.AddUnlinkedIdentityPolicyMyAdmissionPolicy()等擴(kuò)展代碼是可信部署代碼運(yùn)行時(shí)設(shè)置只能選擇已注冊(cè)且部署允許的類型。Studio 宿主通過Authentication:Provider選擇認(rèn)證模式ElsaIdentity/OpenIdConnect/ElsaLogin/ExternalAuthentication代理模式為顯式選擇Server 默認(rèn)保持ElsaIdentityWebAssembly 默認(rèn)保持OpenIdConnect。結(jié)語(yǔ)從研究文檔的 18 個(gè)決策章節(jié)可以看到Elsa 外部認(rèn)證的 v1 設(shè)計(jì)把安全默認(rèn)、顯式放寬、不變式不可編輯貫穿始終配置優(yōu)先 完整覆蓋不合并、主機(jī)級(jí)管理 不可變 Connection Key、原子一次性句柄 會(huì)話綁定刷新輪換、精確發(fā)現(xiàn) 可門控的信任覆蓋、獨(dú)立鏈接 權(quán)限只經(jīng) Elsa Roles 派生。它與倉(cāng)庫(kù)中 Elsa.ExternalAuthentication 各模塊的源碼結(jié)構(gòu)、REST 契約、運(yùn)行時(shí)契約、Studio 契約 與 數(shù)據(jù)模型 完全對(duì)應(yīng)可直接作為集成、二次開發(fā)與安全評(píng)審的參考基線。贊分享后端工作流自動(dòng)化流程編排低代碼【免費(fèi)下載鏈接】elsa-coreThe Workflow Engine for .NET項(xiàng)目地址https://gitcode.com/gh_mirrors/el/elsa-core點(diǎn)擊查看免費(fèi)下載相關(guān)推薦Elsa 3 外部認(rèn)證External Authentication實(shí)現(xiàn)方案服務(wù)器托管的身份提供方連接 Broker 架構(gòu)詳解Elsa 3 外部認(rèn)證External Authentication實(shí)現(xiàn)方案服務(wù)器托管的身份提供方連接 Broker 架構(gòu)詳解 導(dǎo)讀 本文基于 specs后端工作流自動(dòng)化流程編排低代碼Elsa 3 外部認(rèn)證External Authentication與身份提供方連接服務(wù)器自有 Broker 的架構(gòu)、配置與實(shí)戰(zhàn)指南Elsa 3 外部認(rèn)證External Authentication與身份提供方連接服務(wù)器自有 Broker 的架構(gòu)、配置與實(shí)戰(zhàn)指南 Elsa 3 通過后端工作流自動(dòng)化流程編排低代碼Elsa External Authentication REST API 契約詳解Broker 登錄、連接管理與外部身份鏈接的完整實(shí)現(xiàn)Elsa External Authentication REST API 契約詳解Broker 登錄、連接管理與外部身份鏈接的完整實(shí)現(xiàn) 本篇技術(shù)指南以 El后端工作流自動(dòng)化流程編排低代碼上一篇如何用 SteamAutoCrack 三步完成游戲免平臺(tái)啟動(dòng)離線游玩完整指南下一篇RT-Thread 在 JuiceVm RISC-V 64 位虛擬機(jī)上的 BSP 移植與運(yùn)行指南創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考