问为什么auth0锁的嵌入式版本(“覆盖”、“嵌入”)被认为是安全的？

EN

为什么auth0仍然提供我嵌入他们的登录到我的网站？

auth0提供的身份验证系统不允许用户输入"auth0客户凭据“。相反，凭据对于嵌入表单的站点是唯一的。

您是正确的，只有当您信任承载它的页面时，才能在嵌入式表单中输入您的登录详细信息。这就是为什么像“使用Google登录”这样的社交登录功能总是将您重定向到社会身份提供者的安全登录页面，而不应该要求您在初始(可能不受信任)页面上直接输入凭据。

您的Auth0客户端可以选择配置允许的来源--这决定了允许哪些源执行资源所有者密码授予流(即主动身份验证)，因为这些流是通过向Auth0发出跨源请求来执行的。这样，与原始网站不同来源的攻击者不能欺骗您的登录端点，至少不是直接的，但是他们仍然可能通过捕获用户凭据来窃取用户的凭据。

我们计划推出禁用特定客户端资源所有者密码授予的选项，但到目前为止，可以通过使用规则来限制这些登录：

function (user, context, callback) {
  if (context.protocol === 'oauth2-resource-owner') {
    return callback(
      new UnauthorizedError('The resource owner endpoint cannot be used.'));
  }
  callback(null, user, context);
}

正如您所指出的，执行身份验证的更安全的方法是将用户重定向到标识提供者。Auth0也支持这一点，并在可能的情况下成为我们推荐的选项。