office.js Web添加对第三方Web应用程序的身份验证

Question

im在Visual Studio 2019中使用Starter Outlook Web添加模板。 需要一些安全建议

在 MessageRead.js 中，我可以使用 Office.context.mailbox.userProfile 来获取有关添加用户配置文件的一些信息
例如： userDisplayName，userEmailAddress， id ，等等。

我想知道在我的第三方Web应用程序中使用 “ id” 作为SSO身份验证方法的形式是否是个坏主意。
我最初会要求用户使用Office.context.mailbox.userProfile中的email + password + ID进行身份验证，然后将ID与userRecord存储在我的数据库中。

下次用户打开Outlook添加时，它将自动使用“仅”登录Office.context.mailbox.userProfile中的ID

问题是：这完全不安全，不应该使用吗？
尝试避免使用oAuth方法并找到更简单的方法。

如果这是个坏主意，可以给我看看简单的安全方法示例。
谢谢。

Answer 1

在外接程序后端中获取用户ID并映射到用户的推荐方法是获取用户令牌并使用ID。请参阅https://docs.microsoft.com/en-us/outlook/add-ins/authenticate-a-user-with-an-identity-token

上的文档