13、身份与访问管理核心架构概念：关键认证流程解析

身份与访问管理核心架构概念：关键认证流程解析

1. 常见令牌类型

1.1 授权码（Authorization Code）

授权码是一种特殊类型的令牌，用于 OAuth 2.0/OpenID 的 Web 服务器流程。它由授权服务器创建，通过浏览器返回给客户端应用。客户端应用再将授权码直接发送回授权服务器，以换取访问令牌（可选地，还有刷新令牌）。由于授权码通过浏览器返回，可能会被最终用户看到，因此其 TTL（生存时间）非常短，以降低被攻击者窃取的风险。

1.2 SAML 断言（SAML Assertion）

类似于 JWT，SAML 断言可用于向特定资源服务器/服务提供商（SP）对用户进行身份验证。它包含用户身份、发布时间和过期时间等信息，并可以通过多种机制进行安全保护，如 XML 签名包装。应用程序也可以利用 SAML 断言对 API 进行身份验证。

1.3 Salesforce 安全令牌（Salesforce Security Token）

当使用基本身份验证机制（用户名/密码）访问 Salesforce API 时，需要将安全令牌附加到提供的密码后面。该令牌是区分大小写的字母数字密钥。建议尽可能避免使用基本身份验证，而采用 OIDC 等标准。

2. SAML 2.0 流程

2.1 SAML IDP 发起的流程

该流程通常由企业使用，为员工提供一个中央位置/页面，以访问与同一企业身份提供者（IDP）关联的所有应用程序（SP）。具体步骤如下：
1. 用户访问 IDP 登录页面或主页。
2. 页面检查用户是否已通过验证，若未找