主动身份验证：通过 WS-Trust 协议对用户进行身份验证。应答方 (RP) 拥有登录窗口并从安全令牌服务 (STS) 请求安全令牌。在这里，用户使用流登录。主动身份验证的一个示例涉及移动设备，它基于作为该设备一部分的传感器不断验证用户的身份。在移动设备上通过 Stylometry、应用程序使用、Web 浏览和 GPS 位置进行主动身份验证中的更多信息。

Passive Authentication： RP没有登录逻辑；用户被定向到 STS 上的登录页面。登录后，STS 将用户引导回 URL，并且您在信任 STS 的站点上通过了身份验证。被动身份验证的一个示例涉及用户通过“身份提供者显示的 Web 表单并请求用户登录”进行登录。有关主动和被动身份验证的更多信息，请参阅此文档。

我不认为这些术语已经很成熟，而这些概念几乎是微不足道的，这就是为什么在文献中很难找到任何关于这方面的东西的原因。我相信被动身份验证，有时也称为静态身份验证，是一种身份验证方法，它通过客户端传输共享机密作为交换的一部分，类似于 HTTP 基本身份验证。另一方面，主动身份验证使用质询-响应机制，类似于 HTTP Digest 身份验证。从安全角度来看，主动身份验证显然更胜一筹，因为共享密钥（密码）永远不会出现在网络上。此外，无法重放身份验证数据，因为它取决于挑战（随机数）。但是，它在协议中引入了额外的一轮，这并不总是可取的。