如何安全地让Salesforce用户自动登录我的站点

Question

我有一个与SalesForce集成的SaaS。我已将所有SF用户同步到我的数据库，以便我的本地用户存储了SF用户ID。

我需要在SF中有一个自定义链接，它会将用户带到我的网站并自动登录。执行此操作的错误方法是在链接中传递SF用户ID，并将SF用户ID与我存储在数据库中的用户ID匹配。确保推荐的SF用户获得授权的正确方法是什么？是否有一些令牌可以放入SF的链接中，然后我可以根据SF API进行验证？

Answer 1

有两种方法：

1. 创建一个向您的网站发送已签名请求的画布应用。已签名的请求将包括当前用户会话详细信息。您可以使用这些来验证用户确实是他们所说的人。即他们还没有组成一个id，而且他们来自一个活跃的Salesforce会话。见Verifying and Decoding a Signed Request。这种方法的优点是您可以使用您的应用消费者密钥验证请求已签名。
2. 当画布应用程序取代它时，它不再是Salesforce真正推广的旧方法。创建所谓的复合应用程序。这基本上是您的外部网站的iframe，可能包括查询字符串中的会话ID和服务器URL（通过SSL）。通过这些详细信息，您可以回调Salesforce并获取会话所有者的用户ID。

顺便提一下，Salesforce StackExchange网站是询问Salesforce特定问题的好地方。