后端工作流自動化流程編排低代碼【免費下載鏈接】elsa-coreThe Workflow Engine for .NET項目地址https://gitcode.com/gh_mirrors/el/elsa-core點擊查看免費下載導(dǎo)讀本文基于 elsa-core 倉庫中 外部認證研究文檔2026-07-24 批準的修訂版展開系統(tǒng)梳理 Elsa 3.x 引入的服務(wù)器托管式外部認證External Authentication能力如何通過Identity Provider Connection身份提供方連接將多個外部身份源首個版本為 OpenID Connect統(tǒng)一代理到 Elsa Server如何編排配置來源與數(shù)據(jù)庫來源的有效連接注冊表如何在多租戶、多節(jié)點環(huán)境下保證一次性授權(quán)碼、刷新令牌輪換與撤銷等安全語義。讀完本文你將理解該功能的模塊邊界、運行時契約、數(shù)據(jù)模型與安全基線并能夠在自己的部署中按配置優(yōu)先方式接入外部登錄。1. 修訂決策總覽Approved Revision研究文檔在正式展開前首先給出了一組取代早期研究結(jié)論的修訂決策它們構(gòu)成了整個 v1 設(shè)計的骨架管理范圍是主機級host-wideSSO 管理作用于當前連接的 Elsa 服務(wù)器環(huán)境不存在目標實體/環(huán)境字段記錄 ID 用于管理資源和瞬態(tài)代理狀態(tài)Connection Key連接鍵標識持久鏈接與長期會話。配置是基線Studio Override 是完整覆蓋覆蓋Override不做字段合并禁用的覆蓋繼續(xù)遮蔽配置歸檔的覆蓋揭示配置恢復(fù)后重新遮蔽。OIDC 采用精確 HTTPSdiscoveryUrl以發(fā)現(xiàn)文檔派生的信任為安全默認值受權(quán)限門控的 Advanced 設(shè)置可在確認與警告下覆蓋 issuer、授權(quán)/令牌端點或簽名密鑰回調(diào)由部署外部基地址 固定路由 不可變 Connection Key 派生上游客戶端為機密型強制使用 S256 PKCE支持client_secret_basic或client_secret_post。Secret Binding 聲明 Managed 或 External 所有權(quán)Managed 走 Elsa SecretsExternal 走內(nèi)置配置鍵解析器在 Studio 中只讀值。每個連接選擇 Unlinked Identity Policy未鏈接身份策略基于 matcher 的策略只選一個IExternalUserMatcher所需 claims 為臨時性單匹配則鏈接、無匹配則拒絕或創(chuàng)建、歧義/錯誤則拒絕靜態(tài)defaultRoleIds僅作用于新建用戶。首選登錄方法只做排序/強調(diào)選擇器永不自動跳轉(zhuǎn)。Elsa.Studio.Authentication.UI擁有登錄/登出外殼Settings 僅做 UI 組合與導(dǎo)航SSO 連接位于/settings/sso-connectionsLinks 與 Sessions 歸入 Security。只支持 Elsa 發(fā)起的登錄/登出上游令牌是瞬態(tài)的僅保留配置登出所需的最小受保護工件。直接 OIDC 在整個 Elsa 3.x 仍然支持代理模式為推薦項移除屬于未來大版本決策。這一節(jié)確立了配置優(yōu)先、數(shù)據(jù)庫可選、覆蓋不合并、安全不妥協(xié)的基調(diào)后續(xù)所有章節(jié)都是對它的展開。2. 模塊與包邊界Module and Package Boundaries設(shè)計決策將功能拆分為Core/Server 模塊 適配器包 持久化包 Studio 三包層包職責Core/ServerElsa.ExternalAuthentication協(xié)議無關(guān)契約、配置來源、有效注冊表、代理服務(wù)、FastEndpoints 端點、安全通知、內(nèi)存開發(fā)存儲適配器Elsa.ExternalAuthentication.OpenIdConnect啟動期安裝的 v1 適配器橋接Elsa.ExternalAuthentication.Secrets可選的 Elsa Secrets 綁定橋接測試Elsa.ExternalAuthentication.UnitTests/IntegrationTests單元與集成測試Studio 共享Elsa.Studio.ExternalAuthenticationRefit 客戶端、DTO、登錄方式選擇器、安全返回路徑、連接與鏈接管理、描述符驅(qū)動表單、導(dǎo)航、共享令牌抽象Studio ServerElsa.Studio.ExternalAuthentication.BlazorServer機密客戶端交換、服務(wù)端持有令牌、Cookie 會話、回調(diào)、刷新、登出Studio WebAssemblyElsa.Studio.ExternalAuthentication.BlazorWasm公共客戶端 PKCE 交換、輪換刷新、瀏覽器令牌訪問持久化Elsa.ExternalAuthentication.Persistence.EFCore及其各數(shù)據(jù)庫提供方包獨立的ExternalAuthenticationElsaDbContext遵循Elsa.Secrets.Persistence.EFCore*約定倉庫中的實際代碼與這一邊界一一對應(yīng)src/modules/Elsa.ExternalAuthentication/下包含 Endpoints/BrokerDiscoverLoginMethods、InitiateExternal、InitiateLocal、ExchangeToken、CompleteCallback、Logout 等、PoliciesReject、CreateUser、MatchExternalUser、ProvidersConfiguration / Database 兩個連接來源以及 Stores/InMemory 的七個內(nèi)存存儲Elsa.ExternalAuthentication.OpenIdConnect 提供適配器實現(xiàn)Elsa.ExternalAuthentication.Secrets 提供ElsaSecretBindingResolver。設(shè)計要點獨立的適配器包證明啟動期安裝的擴展邊界成立。外部認證實體獨立持久化可單獨啟用而不依賴 Identity 持久化特性是否開啟。JITJust-In-Time用戶創(chuàng)建走IUserStore/IUserProvider不再與 External Identity Link 共享數(shù)據(jù)庫事務(wù)唯一索引IX_ExternalIdentityLink_Identity仲裁一個身份一條鏈接的不變式。被否決的備選方案包括并入Elsa.Identity邊界不清、共享IdentityElsaDbContext無法獨立啟用、無法對接其他用戶目錄、單一 Studio 包Server 與 WebAssembly 的會話/令牌存儲責任不兼容。3. 有效連接注冊表Effective Connection Registry核心抽象是把多個連接來源組合成一個有效注冊表public interface IIdentityProviderConnectionSource { string Name { get; } ConnectionSourceOwnership Ownership { get; } ValueTaskConnectionSourceSnapshot GetSnapshotAsync(CancellationToken cancellationToken default); } public interface IIdentityProviderConnectionRegistry { ValueTaskEffectiveConnectionRegistry GetHostAsync(CancellationToken cancellationToken default); ValueTaskEffectiveIdentityProviderConnection? FindByKeyAsync(string connectionKey, CancellationToken cancellationToken default); }完整簽名見 runtime-contracts.mdv1 來源為部署配置與可選存儲來源。語義要點記錄保留穩(wěn)定 ID邏輯 Connection Key 不可變。普通重復(fù)鍵被拒絕專門的 override 操作創(chuàng)建完整的持久化影子文檔。Disabled 遮蔽配置、Archived 揭示配置、Restore 恢復(fù)遮蔽。注冊表讀取保持read-through穿透讀取發(fā)現(xiàn)與發(fā)起直接讀當前來源版本不依賴無界本地緩存共享單調(diào)注冊表版本為將來條件刷新提供支持但不構(gòu)成安全邊界——權(quán)威狀態(tài)始終來自存儲。之所以不用把配置拷貝進數(shù)據(jù)庫或無限緩存 pub/sub 失效是因為前者會混淆所有權(quán)并帶來密鑰遷移風險后者可能因失效丟失而暴露已禁用或過期的連接。倉庫實現(xiàn)見 DefaultIdentityProviderConnectionRegistry.cs 與兩個來源 ConfigurationIdentityProviderConnectionSource.cs、DatabaseIdentityProviderConnectionSource.cs。4. 持久化與原子性Persistence and Atomicity存儲契約圍繞必需的原子操作定義而不是通用的無條件保存按版本號revision對連接做compare-and-swap變更。主機級唯一的 Connection Key 創(chuàng)建或顯式 override 創(chuàng)建。唯一元組(TargetTenantId, ConnectionKey, Issuer, Subject)的 External Identity Link 創(chuàng)建。原子 JITCreateLinkOrGetExistingAsync。原子一次性TryTakeAsync用于狀態(tài)、完成碼、預(yù)覽結(jié)果與刷新令牌輪換。EF Core 提供方用數(shù)據(jù)庫約束與事務(wù)實現(xiàn)內(nèi)存提供方在單節(jié)點開發(fā)與單元測試中實現(xiàn)同樣語義多節(jié)點部署必須共享提供方。為何不使用替代方案捕獲唯一性異常后獨立保存用戶/鏈接無法可靠收斂或清理孤兒 JIT 用戶直接用IDistributedCache則因標準契約不提供原子 take 或刷新令牌 compare-and-swap 而被否決。相關(guān)運行時契約可見 runtime-contracts.md 中的IExternalAuthenticationStateStore、IExternalIdentityProvisioner等接口。5. 代理狀態(tài)與憑據(jù)模型Broker State and Credential Model代理狀態(tài)采用密碼學(xué)隨機的不可讀句柄opaque handles只持久化鍵控哈希與受保護狀態(tài)句柄被原子消費。默認生命周期如下工件默認值行為提供方關(guān)聯(lián)/狀態(tài)10 分鐘回調(diào)時一次性消費完成碼completion code60 秒令牌交換時一次性消費預(yù)覽狀態(tài)/結(jié)果10 分鐘僅發(fā)起管理員可讀一次外部訪問令牌現(xiàn)有IdentityTokenOptions.AccessTokenLifetime默認保持 1 小時以兼容外部刷新不活動期現(xiàn)有IdentityTokenOptions.RefreshTokenLifetime默認保持 2 小時外部會話最大年齡8 小時刷新輪換永不延長要點外部訪問令牌仍是 Elsa JWT并攜帶External Authentication Session 標識符。外部刷新令牌是不透明、綁定會話、每次使用都輪換的重用被取代的令牌會撤銷整個令牌族?，F(xiàn)有本地 JWT 刷新令牌與/identity/refresh-token端點保持原樣。拒絕復(fù)用無狀態(tài) JWT 刷新端點因為它無法強制連接禁用、會話年齡、聲明快照或撤銷也拒絕把完整代理狀態(tài)放進受保護瀏覽器值因為一次性消費與服務(wù)端撤銷會變?nèi)?。倉庫中對應(yīng)的生命周期選項在 ExternalAuthenticationOptions.cs 的ExternalAuthenticationLifetimesOptionsBrokerTransactionLifetime10 分鐘、CompletionCodeLifetime1 分鐘、PreviewLifetime10 分鐘等中有直接體現(xiàn)。6. 令牌簽發(fā)重構(gòu)Token Issuance Refactoring為避免環(huán)境會話狀態(tài)并保持既有公共 Identity 契約穩(wěn)定設(shè)計把DefaultAccessTokenIssuer中JWT 構(gòu)造部分抽取為共享令牌簽發(fā)服務(wù)public sealed record TokenIssuanceContext( User User, IReadOnlyCollectionstring Roles, IReadOnlyCollectionstring Permissions, IReadOnlyCollectionClaim AdditionalClaims, string? ExternalAuthenticationSessionId); public interface IElsaTokenService { ValueTaskIssuedAccessToken IssueAccessTokenAsync( TokenIssuanceContext context, CancellationToken cancellationToken default); }IAccessTokenIssuer.IssueTokensAsync(User)簽名不變本地行為委托給共享服務(wù)。外部簽發(fā)讀取 Elsa User 的當前 Roles外部認證從不直接提供權(quán)限字符串——這是外部身份不是 Elsa 授權(quán)原則的落地。備選方案給IAccessTokenIssuer加破壞性參數(shù)、在新模塊中復(fù)制令牌創(chuàng)建分別因 Elsa 作為可嵌入庫的公共 API 兼容要求、以及簽名與聲明約定漂移風險而被否決。7. OpenID Connect 適配器OpenID Connect Adapter適配器基于Microsoft IdentityModel 的 OpenID Connect 協(xié)議原語實現(xiàn)而不是為每個連接動態(tài)注冊 ASP.NET Core 認證 scheme。它負責精確發(fā)現(xiàn)、授權(quán)請求構(gòu)造、代碼交換、ID 令牌校驗、可選 user-info 獲取、聲明投影、測試、預(yù)覽與 Elsa 發(fā)起的上游登出。安全要求對齊 OpenID Connect Core 1.0 與 OAuth 2.0 Security BCP僅授權(quán)碼流程authorization-code flow。精確提供方回調(diào) URI。state/correlation 與 nonce 校驗。簽名、issuer、audience/authorized-party、lifetime、subject 校驗。機密上游客戶端 強制 S256 PKCE。支持client_secret_basic與client_secret_post。無隱式流、無密碼授權(quán)。通過綁定并校驗 issuer 實現(xiàn) mix-up 防護。歸一化身份創(chuàng)建后丟棄刷新/提供方令牌除非配置的 user-info 獲取需要瞬態(tài)使用。拒絕動態(tài)注冊 scheme 與從零自建 JWT 校驗原語的原因分別是運行時增刪、逐租戶解析、版本綁定、草稿預(yù)覽會變得復(fù)雜且 handler 特定以及應(yīng)優(yōu)先使用受維護的 IdentityModel 校驗。源碼印證在 OpenIdConnectExternalAuthenticationAdapter.cs 中適配器常量AdapterType openid-connect其CreateAuthorizationRequestAsync構(gòu)造的授權(quán)請求包含response_typecode、client_id、redirect_uri由GetCallbackUri派生、state、nonce、code_challenge與code_challenge_methodS256與文檔描述完全一致描述符將clientSecret標記為必需 Secret Binding 字段、mode提供discovery/manual兩種信任模式signingKeys標記為不安全字段isUnsafetrue。8. 認證客戶端與代理端點Authentication Clients and Broker EndpointsAuthentication Client 是部署配置與 Elsa API Applications 相互獨立機密客戶端用 Secret Binding 做客戶端認證公共客戶端無密鑰兩者都要求 S256 PKCE 與精確的回調(diào)/登出 URI 注冊。代理端點為 OAuth 形狀、位于/external-authentication下但保持 Elsa 特性化登錄方式發(fā)現(xiàn)Login Method discovery。外部與本地代理發(fā)起external / local broker initiation。每個不可變 Connection Key 的固定提供方回調(diào)。授權(quán)碼與外部刷新交換。會話登出與可選上游登出回調(diào)。否決復(fù)用 ApplicationAPI Applications 攜帶角色/權(quán)限、代表機器/API 憑據(jù)與從提供方回調(diào)直接返回 Elsa 令牌令牌會穿過瀏覽器重定向兩種方案。REST 契約細節(jié)見 rest-api.md示例——發(fā)起外部登錄GET /external-authentication/authorize/{connectionKey} ?client_idelsa-studio-wasm redirect_urihttps%3A%2F%2Fstudio.example%2Fauthentication%2Fexternal%2Fcallback response_typecode code_challenge{base64url} code_challenge_methodS256 return_path%2Fworkflows成功返回302到提供方return_path只存在于服務(wù)端持有的受保護狀態(tài)中絕不轉(zhuǎn)發(fā)給提供方。令牌交換端點返回{ accessToken: {elsa-jwt}, tokenType: Bearer, expiresIn: 3600, refreshToken: {opaque}, refreshExpiresIn: 7200, externalSessionExpiresIn: 28800 }完成碼無論交換成功與否都在校驗后原子消費重放返回400 invalid_request。刷新令牌每次響應(yīng)都輪換被取代令牌的重用會撤銷外部會話并返回401 access_denied。9. Studio 托管形態(tài)Studio Hosting Profiles兩種 Studio 宿主擁有不同的信任邊界因此采用不同客戶端模型形態(tài)客戶端代碼交換/回調(diào)所有者瀏覽器/會話結(jié)果Studio Server機密服務(wù)端客戶端BFF 風格Studio 服務(wù)端宿主擁有回調(diào)并以 PKCE 服務(wù)端持有客戶端認證交換提供方與 Elsa 刷新憑據(jù)留在服務(wù)端瀏覽器只得到安全、HTTP-only 的 Studio 會話 CookieStudio WebAssembly公共瀏覽器客戶端瀏覽器回調(diào)直接以 PKCE 交換不簽發(fā)也不接受客戶端密鑰Elsa 憑據(jù)由 Studio token accessor 處理絕不進入 URL默認僅內(nèi)存存儲關(guān)鍵安全細節(jié)Server 端 CookieElsaStudio.ExternalAuthenticationHttpOnlytrue、SecureAlways、SameSiteLax、需要反偽造保護、Cookie 生命周期不得超過外部會話。WebAssembly 端令牌端點只允許精確注冊的 origin無通配符、無帶憑據(jù)的 CORS強制 S256 PKCE返回輪換刷新令牌交換前事務(wù)使用sessionStorage在提供方重定向后存活、回調(diào)后被刪除交換后憑據(jù)默認留在內(nèi)存持久化策略為顯式可配置并帶警告。部署在四種認證提供方中選擇一個ElsaIdentity、ElsaLogin舊版、OpenIdConnect直接、ExternalAuthentication代理管理模塊可獨立安裝。同時啟用 Direct OIDC 與 Brokered 模式是啟動配置錯誤。被否決的方案Server 用公共瀏覽器流BFF 可避免令牌暴露給瀏覽器代碼、獨立 WebAssembly 強制 BFF受支持的靜態(tài)宿主部署沒有 Studio 側(cè)服務(wù)端組件。10. 本地憑據(jù)與無憑據(jù)用戶Local Credentials and Credential-less Users最簡兼容模型變更User.HashedPassword與User.HashedPasswordSalt變?yōu)榭煽占嫒莸氖状芜w移兩個字段要么都存在要么都不存在。DefaultUserCredentialsValidator在任一字段缺失時返回相同的無效結(jié)果?，F(xiàn)有/identity/login與/identity/refresh-token契約不變。新增代理本地發(fā)起端點通過現(xiàn)有服務(wù)校驗憑據(jù)返回與外部認證相同的完成碼交接未鏈接/無效密碼/未知用戶/無本地憑據(jù)統(tǒng)一返回401 authentication_failed避免賬戶枚舉。JIT 使用從租戶與鏈接身份派生的內(nèi)部抗碰撞用戶名 隨機后綴提供方郵箱與顯示名只是可選檔案輸入永遠不是身份鍵全局用戶名唯一性規(guī)則保留。備選方案立即抽出新表、改用戶名為租戶作用域唯一分別因可空密碼字段即可滿足 v1 而無需遷移每個本地用戶與應(yīng)作為獨立 Identity 遷移而被推遲。11. 身份鏈接與未鏈接策略Identity Links and Unlinked PoliciesExternal Identity Link 單獨持久化唯一身份元組為(targetTenantId, connectionKey, issuer, subject)。內(nèi)置策略為Reject與CreateUser選擇按連接進行部署提供默認值與白名單。管理員預(yù)鏈接復(fù)用與 JIT 相同的原子鏈接服務(wù)終端用戶自助鏈接不在 v1 范圍。獨立鏈接讓提供方身份與 Elsa 授權(quán)分離一個 Elsa User 可以擁有多個外部身份。數(shù)據(jù)模型細節(jié)data-model.md鏈接表以SubjectHash鍵控哈希存儲 subject只保留可選的SubjectHint掩碼提示絕非原始 subject唯一索引為(TenantId, ConnectionKey, Issuer, SubjectHash)外鍵指向同租戶 User歸檔連接保留鏈接并發(fā) JIT 與預(yù)鏈接使用同一個原子 create-link-or-get-existing 操作。12. 用戶匹配、角色供給與權(quán)限組合User Matching, Role Provisioning, and Permission Compositionmatcher 型未鏈接身份策略選擇一個已部署的IExternalUserMatchermatcher 聲明所需歸一化 claims策略臨時供給它們求值后丟棄、不持久化。單匹配提議現(xiàn)有用戶無匹配按配置的Reject/CreateUser回退歧義/錯誤結(jié)果拒絕。v1不內(nèi)置Elsa 第一方 verified-email matcher郵箱/姓名隱式匹配默認不可用。defaultRoleIds是靜態(tài)的只應(yīng)用于 CreateUser/無匹配回退新建的用戶保存時復(fù)用 Elsa 角色分配授權(quán)檢查角色與 User 存儲寫入同批提交在獨立持久化的鏈接變得持久之前不簽發(fā)憑據(jù)。匹配到的/現(xiàn)有用戶不會被修改角色v1 Studio 不提供 claim→role 或 claim→permission 映射 UI。角色刪除受到依賴保護任何數(shù)據(jù)庫或配置擁有的 CreateUser / matcher no-match CreateUser 的defaultRoleIds引用含禁用、歸檔、遮蔽、當前無效的定義都會阻止普通刪除配置引用返回脫敏配置路徑且絕不自動改寫部署配置授權(quán)修復(fù)命令需多重確認先移除可編輯引用再刪除角色部分失敗時角色保持完好且可安全重試。運行時契約中的決策記錄見 runtime-contracts.mdpublic abstract record UnlinkedIdentityDecision { public sealed record Reject(string SafeReason) : UnlinkedIdentityDecision; public sealed record CreateUser(UserCreationProposal Proposal) : UnlinkedIdentityDecision; public sealed record LinkExistingUser(string UserId, string AuthorizationBasis) : UnlinkedIdentityDecision; }內(nèi)置策略類型為reject、create-user、match-external-user對應(yīng)倉庫中的 RejectUnlinkedIdentityPolicy.cs、CreateUserUnlinkedIdentityPolicy.cs、MatchExternalUserUnlinkedIdentityPolicy.cs。13. 秘密綁定Secret Bindings協(xié)議中立模塊定義ISecretBindingResolver返回值加不可逆的生成指紋generation fingerprintpublic interface ISecretBindingResolver { string Type { get; } ValueTaskSecretBindingState GetStateAsync(SecretBinding binding, CancellationToken cancellationToken default); ValueTaskResolvedSecretBinding ResolveAsync(SecretBinding binding, CancellationToken cancellationToken default); } public sealed record ResolvedSecretBinding(SensitiveString Value, string GenerationFingerprint);SensitiveString刻意避免有意義的ToString()輸出并在可行處處置/清除。Elsa Secrets 解析器Elsa.ExternalAuthentication.Secrets包不可變秘密名 最新激活版本。配置解析器按配置鍵解析提供方無法提供版本時代理從解析值派生鍵控指紋。綁定聲明Managed或External只有 Managed 值在 Studio 中有替換/移除生命周期操作External 值只暴露引用與配置/可解析狀態(tài)。指紋參與有效物料修訂material revision但永不返回、記錄或作為公共連接數(shù)據(jù)持久化。之所以所有解析器都要有等價輪換語義是為了讓回調(diào)修訂檢查不依賴提供方特定的版本特性。倉庫實現(xiàn)見 ElsaSecretBindingResolver.cs 與 ConfigurationSecretBindingResolver.cs。14. 提供方 HTTP 安全Provider HTTP Safety對外 HTTP 使用專用命名HttpClient管道 目標校驗器覆蓋發(fā)現(xiàn)、令牌、user-info、測試、預(yù)覽與登出請求。安全默認值默認要求 HTTPSHTTP 僅通過顯式開發(fā)/不安全策略允許。每次 DNS 解析后拒絕私有、環(huán)回、鏈路本地、組播、保留與未指定地址。每個重定向目標都重新解析 DNS重定向限制為 3 次且不得降級 HTTPS。連接/請求超時10 秒。發(fā)現(xiàn)/JWKS 響應(yīng)上限各 1 MiB令牌/user-info 上限各 256 KiB?？蛇x部署白名單與出口代理優(yōu)先于連接設(shè)置。響應(yīng)體永不進入公共錯誤、預(yù)覽、健康詳情、日志或通知。原因是運行時配置的權(quán)威端點使發(fā)現(xiàn)與測試端點天然具備 SSRF 能力因此出站策略必須是一等安全邊界。倉庫中的實現(xiàn)與校驗器包括 ProviderHttpClientFactory.cs、ValidatedOutboundConnectionFactory.cs 與 OutboundDestinationValidator.cs。15. 速率限制與公共錯誤Rate Limiting and Public Errors與 ASP.NET Core命名速率限制策略集成提供可替換的安全參考默認值端點族默認分區(qū)默認限制發(fā)現(xiàn)discoveryclient ID 遠端網(wǎng)絡(luò)60 請求/分鐘外部發(fā)起client ID 遠端網(wǎng)絡(luò)20 請求/分鐘本地發(fā)起client ID 遠端網(wǎng)絡(luò) 鍵控用戶名哈希10 請求/分鐘提供方回調(diào)Connection ID 遠端網(wǎng)絡(luò)60 請求/分鐘代碼/刷新交換client ID 遠端網(wǎng)絡(luò)30 請求/分鐘429響應(yīng)包含Retry-After與安全的rate_limited類別。其他公共錯誤類別invalid_request、method_unavailable、authentication_failed、identity_unlinked、flow_expired、flow_changed、access_denied、temporarily_unavailable、server_error每條都帶關(guān)聯(lián)標識符correlation ID。管理 API 可額外使用not_found、validation_failed、conflict、forbidden、precondition_failed。統(tǒng)一錯誤響應(yīng)示例rest-api.md{ error: flow_expired, message: The sign-in attempt expired. Start again., correlationId: 01JZ... }公共錯誤不得區(qū)分未知用戶與缺失鏈接防止賬戶枚舉。倉庫中的速率限制策略名定義于 ExternalAuthenticationRateLimitPolicyNames.cs。16. 連接測試與預(yù)覽Connection Testing and Preview連接測試只在共享存儲中按 Connection ID 與已測試物料修訂鍵控保存最新脫敏ConnectionObservation物料修訂變化即過期不做歷史與輪詢。測試失敗不會自動禁用或隱藏有效的已啟用連接——啟用意圖、結(jié)構(gòu)有效性、觀察結(jié)果三者嚴格分離。預(yù)覽Preview Sign-in使用獨立的 client/callback purpose 與原子狀態(tài)/結(jié)果記錄。結(jié)果白名單包含 issuer、subject 哈?；蜓诖a subject、選中的投影 claims帶描述符脫敏、目標租戶、提議的策略決策、提議的用戶/鏈接動作、帶來源的權(quán)限授予與警告不可兌換為正常會話絕不創(chuàng)建用戶、鏈接、普通完成碼、憑據(jù)或會話。數(shù)據(jù)模型見>services.AddElsa(elsa { elsa.UseIdentity(identity { /* existing token options */ }); elsa.UseExternalAuthentication(external { external.Configure(options configuration.GetSection(ExternalAuthentication).BindExternalAuthenticationOptions(options)); external.UseOpenIdConnect(); external.UseElsaSecrets(); }); });配置優(yōu)先的宿主省略數(shù)據(jù)庫存儲注冊使用 EF Identity 持久化的宿主將外部認證 EF 集成注冊到同一IdentityElsaDbContext。關(guān)鍵部署配置項ExternalAuthenticationOptions.csAuthenticationClients認證客戶端、Connections不可變配置自有連接、EnableDatabaseConnections可選數(shù)據(jù)庫來源、AllowConfigurationConnectionOverrides是否允許數(shù)據(jù)庫覆蓋配置鍵、AllowedAdapterTypes/AllowedUnlinkedIdentityPolicyTypes擴展白名單未鏈接策略默認僅[reject, create-user]、UnlinkedIdentityPolicy.DefaultType默認reject、Lifetimes、Claims、RateLimits、ProviderEgress、Redirects等。自定義擴展通過 DI 與顯式特性方法注冊external.AddAdapterMyGitHubAdapter()、external.AddUnlinkedIdentityPolicyMyAdmissionPolicy()等擴展代碼是可信部署代碼運行時設(shè)置只能選擇已注冊且部署允許的類型。Studio 宿主通過Authentication:Provider選擇認證模式ElsaIdentity/OpenIdConnect/ElsaLogin/ExternalAuthentication代理模式為顯式選擇Server 默認保持ElsaIdentityWebAssembly 默認保持OpenIdConnect。結(jié)語從研究文檔的 18 個決策章節(jié)可以看到Elsa 外部認證的 v1 設(shè)計把安全默認、顯式放寬、不變式不可編輯貫穿始終配置優(yōu)先 完整覆蓋不合并、主機級管理 不可變 Connection Key、原子一次性句柄 會話綁定刷新輪換、精確發(fā)現(xiàn) 可門控的信任覆蓋、獨立鏈接 權(quán)限只經(jīng) Elsa Roles 派生。它與倉庫中 Elsa.ExternalAuthentication 各模塊的源碼結(jié)構(gòu)、REST 契約、運行時契約、Studio 契約 與 數(shù)據(jù)模型 完全對應(yīng)可直接作為集成、二次開發(fā)與安全評審的參考基線。贊分享后端工作流自動化流程編排低代碼【免費下載鏈接】elsa-coreThe Workflow Engine for .NET項目地址https://gitcode.com/gh_mirrors/el/elsa-core點擊查看免費下載相關(guān)推薦Elsa 3 外部認證External Authentication實現(xiàn)方案服務(wù)器托管的身份提供方連接 Broker 架構(gòu)詳解Elsa 3 外部認證External Authentication實現(xiàn)方案服務(wù)器托管的身份提供方連接 Broker 架構(gòu)詳解 導(dǎo)讀 本文基于 specs后端工作流自動化流程編排低代碼Elsa 3 外部認證External Authentication與身份提供方連接服務(wù)器自有 Broker 的架構(gòu)、配置與實戰(zhàn)指南Elsa 3 外部認證External Authentication與身份提供方連接服務(wù)器自有 Broker 的架構(gòu)、配置與實戰(zhàn)指南 Elsa 3 通過后端工作流自動化流程編排低代碼Elsa External Authentication REST API 契約詳解Broker 登錄、連接管理與外部身份鏈接的完整實現(xiàn)Elsa External Authentication REST API 契約詳解Broker 登錄、連接管理與外部身份鏈接的完整實現(xiàn) 本篇技術(shù)指南以 El后端工作流自動化流程編排低代碼上一篇如何用 SteamAutoCrack 三步完成游戲免平臺啟動離線游玩完整指南下一篇RT-Thread 在 JuiceVm RISC-V 64 位虛擬機上的 BSP 移植與運行指南創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考