您在此处：
客户和合作伙伴的无头身份
保护自定义登录 UI 的后端 API 握手。
控件名称
客户和合作伙伴的无头身份
推荐配置
无头身份允许开发人员将 Salesforce 用作强大的后端身份引擎，同时在自己的外部服务器或自定义应用程序上托管登录和注册用户界面。
控制概览
保护自定义登录 UI 的后端 API 握手。
安全风险（如果未配置）
在不对自定义应用程序使用无头架构时，开发人员通常会使用不安全的方法，例如“构建”标准 Salesforce 页面或使用不太安全的浏览器重定向，这些重定向更容易受到点击劫持和跨站点脚本 (XSS) 的攻击。
威胁场景
攻击者利用传统浏览器重定向流中的漏洞来拦截授权代码或会话 Cookie，当使用在无头“授权代码和验证器”流中发现的更安全的服务器到服务器通信时，这种风险大大降低。
估计的 CVSS 得分范围
关键 (9.0–10.0)。
风险影响注意事项
对于大规模自定义应用程序，依赖传统的前端重定向可能会导致分散的安全状况，身份验证“握手”可见，并且容易受到客户端操纵。
高风险
当构建需要高级别安全性的自定义移动应用程序或单页面应用程序，但又无法在不降低用户安全上下文的情况下本地支持标准的 Salesforce Web 登录体验时，风险更高。
低风险
使用标准的内置 Experience Cloud 模板，而不是自定义构建的前端，因为这些模板已经包含重定向和会话处理的内置 Salesforce 保护。
业务和集成注意事项
实施无头身份需要 OAuth 2.0 流中的高级开发专业知识，以及构建和维护通过无头身份 API 与 Salesforce 通信的自定义前端 UI 的能力。
建议的补救措施
在 Salesforce 中配置无头注册和登录发现处理器，并更新您的外部应用程序，以对所有身份验证请求使用无头身份 API。
安全健康审查指导
安全健康审查将无头身份识别为 API 优先安全模型，该模型提供了自定义用户体验的灵活性，同时不牺牲 Salesforce 平台的严格后端安全标准。
