---
title: "接入概览 - QiSSO"
description: "了解 QiSSO 统一账号的接入方式、系统职责与开发步骤。"
canonical_url: "https://docs.mcent.cn/qisso/introduction"
---
# 接入概览 - QiSSO

> 了解 QiSSO 统一账号的接入方式、系统职责与开发步骤。

QiSSO 是启承服务的统一身份认证服务，为业务系统提供 OAuth / OpenID Connect（OIDC）登录、应用授权与受信服务端接口。业务系统通过标准协议识别用户，在自己的服务端建立业务会话。

## 选择接入方式

<table>
<thead>
  <tr>
    <th>
      场景
    </th>
    
    <th>
      方式
    </th>
    
    <th>
      适用边界
    </th>
  </tr>
</thead>

<tbody>
  <tr>
    <td>
      网站、管理后台或带服务端的应用登录
    </td>
    
    <td>
      OIDC 授权码 + PKCE，由 BFF 完成换码
    </td>
    
    <td>
      推荐先完成的基础接入
    </td>
  </tr>
  
  <tr>
    <td>
      无法保密客户端密钥的应用
    </td>
    
    <td>
      公共客户端 + PKCE
    </td>
    
    <td>
      认证方式为 <code>
        none
      </code>
      
      ，不配置 Client Secret
    </td>
  </tr>
  
  <tr>
    <td>
      后端定时任务或系统间调用
    </td>
    
    <td>
      <code>
        client_credentials
      </code>
    </td>
    
    <td>
      机密客户端，申请明确的服务权限
    </td>
  </tr>
  
  <tr>
    <td>
      业务页面内展示密码和 MFA 表单
    </td>
    
    <td>
      嵌入式授权 + 原有 OIDC 回调
    </td>
    
    <td>
      需单独启用，浏览器直接连接 QiSSO
    </td>
  </tr>
</tbody>
</table>

BFF 是业务系统面向浏览器的服务端。它保存客户端密钥与令牌、校验回调，并通过安全 Cookie 向浏览器提供业务会话。

## 系统各自负责什么

- **QiSSO**：验证账号与 MFA，处理用户对应用的授权，签发协议令牌，维护身份和授权状态。
- **业务服务端**：校验协议结果、建立与终止本地会话、控制业务接口权限，并在需要时重新核验账号与应用授权。
- **业务前端**：发起登录并展示业务界面；不保存 Client Secret，不把用户输入的密码转交业务服务端。

ID Token 用于验证登录结果，Access Token 用于访问其适用的资源接口，两者不能互换。QiSSO 的站点登录 Cookie 与业务系统的本地会话也需要分别管理。

## 开始接入

1. 向管理员取得本环境的 Issuer、Client ID、客户端类型和已登记回调；按[应用注册](https://docs.mcent.cn/qisso/application-registration)核对配置。
2. 从 Issuer 的 Discovery 文档读取端点，按 [OIDC 登录](https://docs.mcent.cn/qisso/oidc-login)完成授权、回调与会话建立。
3. 需要系统间调用时，按[服务端调用](https://docs.mcent.cn/qisso/server-integration)申请服务 scope 与调用方允许名单。
4. 需要嵌入表单时，再阅读[嵌入式登录](https://docs.mcent.cn/qisso/embedded-login)，验证浏览器来源与 Cookie 行为。
5. 按[联调与排错](https://docs.mcent.cn/qisso/troubleshooting)覆盖成功、失败、撤销和过期流程。

## 示例约定

启承服务的 QiSSO 正式地址为 [account.mcent.cn](https://account.mcent.cn)。下面的 Issuer 为正式协议地址；应用首页、回调与 Client ID 是接入方需要替换的示例：

```text
Issuer: https://account.mcent.cn/realms/mcent
应用首页: https://app.example.com
回调地址: https://app.example.com/login/callback
Client ID: example-app
```

每个环境的应用注册和密钥分别管理，公开文档不包含任何真实凭据。其他自建环境使用其管理员提供的完整 Issuer，不与正式环境混用。

## 文档阅读地图

<table>
<thead>
  <tr>
    <th>
      阶段
    </th>
    
    <th>
      内容
    </th>
    
    <th>
      完成标志
    </th>
  </tr>
</thead>

<tbody>
  <tr>
    <td>
      注册
    </td>
    
    <td>
      <a href="https://docs.mcent.cn/qisso/application-registration">
        应用注册
      </a>
    </td>
    
    <td>
      明确客户端类型、认证方式、回调和 scope
    </td>
  </tr>
  
  <tr>
    <td>
      跑通
    </td>
    
    <td>
      <a href="https://docs.mcent.cn/qisso/oidc-login">
        OIDC 登录
      </a>
      
      、<a href="https://docs.mcent.cn/qisso/node-bff-example">
        Node.js BFF 示例
      </a>
    </td>
    
    <td>
      通过真实授权回调建立业务会话
    </td>
  </tr>
  
  <tr>
    <td>
      授权
    </td>
    
    <td>
      <a href="https://docs.mcent.cn/qisso/claims-and-permissions">
        Claims 与权限
      </a>
      
      、<a href="https://docs.mcent.cn/qisso/server-integration">
        服务端调用
      </a>
    </td>
    
    <td>
      身份、服务 scope 和业务权限分别受控
    </td>
  </tr>
  
  <tr>
    <td>
      会话
    </td>
    
    <td>
      <a href="https://docs.mcent.cn/qisso/sessions-and-logout">
        会话与退出
      </a>
    </td>
    
    <td>
      退出、撤销、过期和权限变更有明确处理
    </td>
  </tr>
  
  <tr>
    <td>
      内嵌
    </td>
    
    <td>
      <a href="https://docs.mcent.cn/qisso/embedded-login">
        嵌入式登录
      </a>
    </td>
    
    <td>
      密码与 MFA 直连 QiSSO，继续原 OIDC 回调
    </td>
  </tr>
  
  <tr>
    <td>
      查表
    </td>
    
    <td>
      <a href="https://docs.mcent.cn/qisso/api-reference">
        接口参考
      </a>
    </td>
    
    <td>
      按请求字段、响应和错误定位联调问题
    </td>
  </tr>
  
  <tr>
    <td>
      验收
    </td>
    
    <td>
      <a href="https://docs.mcent.cn/qisso/troubleshooting">
        联调与排错
      </a>
    </td>
    
    <td>
      成功、异常和撤销场景均有实际记录
    </td>
  </tr>
</tbody>
</table>


## Sitemap

See the full [sitemap](https://docs.mcent.cn/sitemap.md) for all pages.