您如何确保使用您的域凭据进行登录的应用程序不存储您的密码？

Question

有多个应用程序使用您的域凭据进行登录。例如：自定义企业应用。您如何确保此类应用程序不存储您的密码？

我之所以这样问的原因是：如果您正在设计一个同样的应用程序，那么您如何说服用户可以信任您的应用程序不存储密码？

Answer 1

如果您确实希望用户确定您的应用没有保留其密码，请不要使用他们的密码。

Microsoft Active Directory域登录使用Kerberos。 Kerberos是一种SSO解决方案;应用程序可以使用用户的Kerberos凭据，而无需用户第二次输入其密码。应用程序获取的凭据可能只有用户的Kerberos票证才有效 - 可能最多一周。

如果您有一个Web应用程序，它也可以通过SPNEGO参与温暖的好处。如果您在公司域中，您可能已经以Sharepoint站点的形式看到了这一点，不需要登录。

Answer 2

如果您使用过标准的基于AD的Windows身份验证，则他们不应该拥有您的密码，但他们当然可以使用您的用户上下文执行操作。

如果您使用标准Windows身份验证提供用户名/密码登录，则无法确定他们是否已将其保存。

如果Windows auth发布过期的登录令牌，这可能是一个不同的故事，但我不相信它是如何工作的，当然在第二种情况下仍然没用。