我只是想对此做一些澄清。我是Oauth2新手，目前正在将Prompt =“ login”导入我的应用程序，这应该使我可以在应用程序中选择的任意位置强制执行用户的重新身份验证。
让我有些沮丧的是，似乎Oauth2或openidconnect似乎没有任何用于验证同一用户重新认证的规范。
例如，假设joe@test.com最初登录并通过了我的应用程序的身份验证。 Joe现在想在我的应用程序中执行一个私密的动作，但是我希望他先重新进行身份验证。在重新认证期间，他以Suzy@test.com登录。似乎没有明确的方法可以强制新用户与先前通过身份验证的用户匹配。
我希望您能对此片段有所了解。
感谢所有查看！
鲁本
答案 0 :(得分：0)
我找不到框架中内置的任何东西来处理此问题。因此，我最终在发出挑战时通过将用户名添加到OIDC状态字段来保留该用户名。然后，我将状态存储的初始用户名与外部IDP提供程序返回的用户名进行比较。如果不匹配，我将拒绝身份验证请求。