Подключить SSO и OAuth к уже готовому веб-сервису

Наш веб-сервис давно запущен и имеет собственную регистрацию пользователей, поэтому создавать авторизацию заново не требуется. Нам нужно надстроить над тем, что уже есть, механизм единого входа, чтобы человек мог зайти через сервис, которым и так пользуется каждый день. Для частных пользователей это привычные кнопки входа через популярные соцсети, а для бизнес-клиентов — подключение их корпоративной системы идентификации, чтобы сотрудники авторизовались рабочей учётной записью. Главное здесь — грамотная стыковка с текущим кодом и предсказуемое поведение, а не новый дизайн формы входа: всё должно смотреться органично внутри нынешнего интерфейса.

По содержанию работы предстоит собрать стандартные сценарии OAuth для соцсетей и сценарий SAML для корпоративных провайдеров, корректно и безопасно принять ответ провайдера и обменять его на токены, а затем настроить их автоматическое продление, чтобы активная сессия не обрывалась в разгар работы. Отдельно ценим правильную раскладку полученного профиля по нашим ролям и уровням доступа: пришедший пользователь должен оказаться в верной группе, а неопознанные или неподтверждённые входы — отрабатываться аккуратно. Уже заведённые локальные учётки должны сохранить работоспособность, а при совпадении адреса почты внешний профиль разумно связать с существующей записью, не плодя копии.

Безопасность рассматриваем как основу задачи, а не как приятное дополнение. Рассчитываем на контроль параметров state и nonce, защиту от повторной отправки и перехвата токенов, хранение ключей подальше от браузера и краткое описание проведённых проверок. Бюджет и срок указаны ниже; до начала охотно обсудим короткий план работ.

— Авторизация через несколько соцсетей по OAuth внутри текущего интерфейса
— Сценарий SAML для корпоративных провайдеров с обменом метаданными
— Автопродление токенов и стабильные сессии без внезапных выходов
— Раскладка ролей и прав пришедшего профиля по нашим группам
— Связывание с локальными учётками по подтверждённой почте, без копий
— Пояснения по безопасности: state, nonce, защита от повторов, ключи