Native to Web SSO y sesiones

Más información sobre Native to Web SSO y las sesiones

Cuando una WebView o un navegador inicia una llamada al endpoint /authorize, Auth0 determina si hay una sesión activa y luego reutiliza la sesión existente o aplica el session_transfer_token proporcionado. Para evitar riesgos de inyección de sesiones, Auth0 utiliza una evaluación segura y predefinida para determinar si el session_transfer_token es válido. Para obtener más información, consulta Configurar e implementar Native to Web SSO.

Native to Web SSO no modifica la autenticación estándar de inicio de sesión único de Auth0.

Los flujos específicos de Native to Web SSO pueden dar lugar a los siguientes comportamientos:

1. El usuario inicia sesión cuando se envía un session_transfer_token válido y no existe una sesión previa de Auth0.
2. El usuario inicia sesión cuando se envía un session_transfer_token válido y se encuentra una sesión previa de Auth0 para el mismo usuario.
3. Se solicita al usuario que inicie sesión cuando se encuentra una sesión previa de Auth0 y el session_transfer_token pertenece a otro usuario. Además, la sesión previa de Auth0 se revoca.
4. Se solicita al usuario que inicie sesión cuando se encuentra una sesión previa de Auth0 y el session_transfer_token no es válido.

​

Sesiones y revocación de tokens de actualización

Se utiliza un session_transfer_token para iniciar una sesión segura en una WebView o en un navegador y autenticar de forma segura al usuario sin pedirle que inicie sesión. Estas sesiones web también pueden emitir sus propios tokens de actualización.

Native to Web SSO aplica un conjunto de reglas de revocación para garantizar un comportamiento coherente y seguro cuando se revocan sesiones y tokens de actualización:

• Cuando se revoca un token de actualización, también se revocan sus tokens de actualización y sesiones asociados si enforce_cascade_revocation está habilitado en la aplicación nativa.
• Cuando se revoca una sesión web, también se revocan sus tokens de actualización asociados si enforce_online_refresh_tokens está habilitado en la aplicación web
• No se permite el uso anidado de Native to Web SSO. Una sesión web creada con un session_transfer_token no puede generar otro session_transfer_token.