<div dir="ltr"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><br class="gmail_msg">
Most apps like this use OAuth, which is to say they just reinvent cookies. They get it from the URL typically, or via some callback, and stash it off for use as a super-cookie. At least on Android I think they give you all this machinery for free now, and by using the system browser, you basically isolate the step of authenticating the user to the IdP to get the token, just like the non-mobile case.<br class="gmail_msg">
<br class="gmail_msg"><br class="gmail_msg"></blockquote><div><br></div><div>getting a bit off topic but its funny because people created openid connect because they didn't like SAML/XML (especially in mobile apps) and now that google is pushing everyone to using the system browser (which was really always the *best* way to do it) the mechanism for SSO is irrelevant to the client app.</div></div></div>