联邦身份模式(Federated Identity)

联邦身份模式（Federated Identity）是一种将用户身份认证委托给外部可信身份提供方（IdP）的设计模式。应用本身不存储和校验密码，而是信任IdP签发的令牌来判定用户身份与权限。

概述

让每个应用独立管理账号既加重用户记忆负担，又增加凭据泄露风险。联邦身份通过在应用（依赖方）与身份提供方之间建立信任关系，把认证集中到少数专业IdP。用户在IdP登录后获得令牌，应用凭令牌授予访问，从而实现单点登录（SSO）。

核心原理

• 依赖方将未认证请求重定向到身份提供方进行登录。
• IdP完成认证后签发带签名的安全令牌，包含身份与声明信息。
• 依赖方校验令牌签名与有效期，据此建立会话并授权。
• 常基于OpenID Connect、OAuth 2.0、SAML等标准协议实现。

应用场景

该模式是企业SSO、社交账号登录（如微信、Google登录）以及跨组织协作的基础，广泛用于需要统一身份、降低账号维护成本和满足合规要求的系统。

常见问题

问：应用还需要自己存密码吗？答：不需要。凭据由IdP管理，应用只处理令牌，这减小了自身的敏感数据暴露面，但必须正确校验令牌。

问：IdP故障会怎样？答：IdP成为关键依赖，其不可用将阻断登录。应选择高可用的IdP，并合理设置令牌有效期与会话缓存以减轻瞬时故障影响。