认证概念

Autional 的认证工作原理 —— 从密码哈希到 OIDC 流程。

密码传输模式

Autional 支持 4 种密码传输模式，可按租户配置：

密码哈希（服务端）

传输完成后，密码使用 argon2id（KDF）+ PASSWORD_PEPPER 进行哈希。系统同时保留 bcrypt 兜底方案以兼容存量数据，并支持按租户选择算法。

会话与令牌流程

User Login → POST /auth/login
  ├─ Returns: access_token (JWT, 5min) + refresh_token (24h)
  ├─ Access token: sent as Authorization Bearer header
  ├─ Refresh: POST /auth/refresh → new token pair
  └─ Logout: POST /auth/logout → revoke tokens, blacklist

OAuth 2.1 / OIDC

Autional 实现了完整的 OAuth 2.1 + OpenID Connect 提供方技术栈：

• 授权码 + PKCE（RFC 7636）
• 客户端凭证（M2M）
• 设备授权（RFC 8628）
• 令牌交换（RFC 8693）—— NHI 与 AI 智能体认证
• DPoP（持有证明）
• JARM（受 JWT 保护的授权响应）
• 动态客户端注册（RFC 7591）
• 富授权请求（RFC 9396）

SAML 2.0

通过 SAML 2.0 IdP 实现企业单点登录（SSO），支持元数据交换、SLO 与属性映射，可在管理控制台中配置。