Come funziona IngressoDigitale

Il flusso tecnico, in chiaro

1. L'utente clicca "Entra con SPID" sul tuo sito (widget o pulsante custom).
2. Il browser viene reindirizzato a IngressoDigitale (autorizzato Service Provider AgID).
3. L'utente sceglie il gestore SPID (Poste, InfoCert, Aruba…) o CIE.
4. Il gestore SPID/CIE autentica l'utente e ci invia un'asserzione SAML firmata.
5. Noi validiamo asserzione, firma, audience, replay, livello. Ti restituiamo un token JWT firmato con gli attributi richiesti.
6. Il tuo backend verifica il JWT (chiave pubblica nostra) e apre la sessione utente.

// Esempio PHP minimo
$token = $_GET['id_token'];
$payload = JWT::decode($token, $publicKey, ['RS256']);
$utente = [
  'cf'      => $payload->fiscalNumber,
  'nome'    => $payload->name,
  'cognome' => $payload->familyName,
  'email'   => $payload->email,
];
// crea sessione applicativa, redirect interno
session_start();
$_SESSION['utente'] = $utente;
header('Location: /area-riservata/');

Chi fa cosa