<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote"><br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div class="m_4835248107918601935gmail_msg" style="color:rgb(33,33,33);font-size:13px"><br class="m_4835248107918601935gmail_msg"></div><div class="m_4835248107918601935gmail_msg" style="color:rgb(33,33,33);font-size:13px">I've found a few applications that use embedded web panes but I'd rather not go that route, if possible.  I'd rather use the ECP approach. </div><div class="m_4835248107918601935gmail_msg" style="color:rgb(33,33,33);font-size:13px"><br class="m_4835248107918601935gmail_msg"></div><div class="m_4835248107918601935gmail_msg" style="color:rgb(33,33,33);font-size:13px"><br></div></div></blockquote><div><br></div><div>I would use the system web browser (NOT an embedded one).  This is the guidance Google uses for apps that authenticate with Google IDs and there are multiple other benefits:</div><div><br></div><div>1.  If the IdP adds additional security such as multi factor authentication your app doesn't need to change</div><div>2.  Letting users see their "normal" login page lets them see that they're not giving their credentials to a bad actor</div><div>3.  Collecting someone's credentials means you are now responsible for them (even if its only in memory)</div><div>4.  ECP does NOT define a standard for authentication.  Its mostly used with basic authentication but that is more out of convenience then anything else</div><div><br></div><div><br></div><div>I run a multi-jurisdictional identity provider now and we are trying to integrate with an app developer that didn't integrate the system browser and they have to go back and make updates to their code to get it to work.  WebEx is a great example of a mobile app that uses the system browser for SSO.</div></div></div></div>