OIDC是在OAuth2的基础上做了一个身份认证层,以便于客户端知晓授权的终端用户(End User),在客户端获取access_token
的同时一并提供了一个用户的身份认证信息Id Token。广泛用于微服务、开放平台、SSO、三方登录授权等场景。
本文摘自《Spring Security 与 OAuth2》系列专栏
❝其它还有一些术语,参见OIDC术语列表[1]。
OIDC包含了很多规范,最小的规范是 OIDC Core,下图是一个比较老的图,已经有点过时了,不过在一定程度上也能帮助你理解OIDC。
OIDC协议簇图谱
prompt=create
身份验证请求参数。❝还有一些草案正在孵化中,这里就不多介绍了。
OIDC 被抽象为以下5个步骤,如图:
OIDC流程图
对比OAuth2,RP就是OAuth2客户端,这个时候发送的请求不是授权请求了,而是认证(AuthN)请求;OP也就是OAuth2授权服务器,它需要在OAuth2的基础上提供EU(资源所有者)的claims以及身份认证令牌Id Token。
❝OIDC认证授权流程中必须包含授权范围
openid
。
Id Token是OIDC的特有概念,它是一个包含用户信息(claims)的JWT令牌,如下所示:
eyJ4NXQjUzI1NiI6IlN4cXFkV1l4VDdCWnJkSC11VnBnQUhmWDJxMzRxUHl4eDRvblg2bXYtcUkiLCJraWQiOiJqb3NlIiwiYWxnIjoiUlMyNTYifQ.eyJzdWIiOiJ1c2VyIiwiYXVkIjoiZTJmYTdlNjQtMjQ5Yi00NmYwLWFlMWQtNzk3NjEwZTg4NjE1IiwiYXpwIjoiZTJmYTdlNjQtMjQ5Yi00NmYwLWFlMWQtNzk3NjEwZTg4NjE1IiwiaXNzIjoiaHR0cDpcL1wvbG9jYWxob3N0OjkwMDAiLCJleHAiOjE2NTM2MjUxMjgsImlhdCI6MTY1MzYyMzMyOCwibm9uY2UiOiJXNm5LeTlxZnFWMkRvSDN1TDVGVGNVOUVGR2k4dWlqay1lcDIyV3RGQ2NZIn0.VDBOF867LnQIB52XGkSMT6hAu0NpyJsPA3soIAt3WWb4dwDmdiMrq5xpRuewURknmBmhZaJHT2QETEFWGhwB5gnq4kw4yPlvOpUuKxqfPsr9plA0HV_mQF9WFearRmVI12hGBrgj0Htgf4I5K6Nz8c4K0ibrdmcHSwonrb856TVep0Ne1cr21tOcmYmptgGco_vNsKvPsua0Hxff56_ikGDYonY5y7q6leFP5F9LAKUgRjPdhXM6OzdpHfP8XkiiPor9A1WWW0VhxmxCGe7dfQF_0QFYtmWnAymSS1PExUz4KdKGjPKtPanZe6ufym-5-ErSc-kH0mWi6AxvYt_5VQ
我们对头部和负载两个部分进行解码看一看。
头部:
{
"x5t#S256": "SxqqdWYxT7BZrdH-uVpgAHfX2q34qPyxx4onX6mv-qI",
"kid": "felord.cn",
"alg": "RS256"
}
头部包含了常规的JWT Header信息,符合JOSE规范。
负载:
{
"sub": "user",
"aud": "e2fa7e64-249b-46f0-ae1d-797610e88615",
"azp": "e2fa7e64-249b-46f0-ae1d-797610e88615",
"iss": "http://localhost:9000",
"exp": 1653625128,
"iat": 1653623328,
"nonce": "W6nKy9qfqV2DoH3uL5FTcU9EFGi8uijk-ep22WtFCcY"
}
从上面看,负载包含了一系列的claim,它们的含义如图:
Id Token构成
OIDC的认证流程主要是由OAuth2的几种授权流程扩展而来,有以下三种:
至于为什么没客户端凭据模式,是因为客户端凭据被设计用来做客户端之间的交互和End User根本没半毛钱关系。所以重点就是Authorization Code Flow。
关于授权码流,其实我觉得没有什么可多说的,如果你是OIDC Authorization Code Flow,你必须在请求中的scope
参数中携带openid
,授权服务器收到请求后会多返回一个EU的用户信息ID Token。流程上和OAuth2授权码流程完全一样。
❝请注意,OIDC必须使用JWT作为令牌风格。
OIDC还提供用户信息端点,这个端点是一个资源端点。它的请求方式为:
GET /userinfo HTTP/1.1
Host: localhost:9000
Authorization: Bearer eyJ4NXQjUzI1NiI6IlN4cXFkV1l4VDdCWnJkSC11VnBnQUhmWDJxMzRxUHl4eDRvblg2bXYtcUkiLCJraWQiOiJqb3NlIiwiYWxnIjoiUlMyNTYifQ.eyJzdWIiOiJ1c2VyIiwiYXVkIjoiZTJmYTdlNjQtMjQ5Yi00NmYwLWFlMWQtNzk3NjEwZTg4NjE1IiwibmJmIjoxNjUzNTQ2OTUwLCJzY29wZSI6WyJvcGVuaWQiLCJtZXNzYWdlLnJlYWQiLCJtZXNzYWdlLndyaXRlIl0sImlzcyI6Imh0dHA6XC9cL2xvY2FsaG9zdDo5MDAwIiwiZXhwIjoxNjUzNTQ3MjUwLCJpYXQiOjE2NTM1NDY5NTB9.MxySV9FwP3JVdThc7DkoROfseEPW1fRXRD1ljWN05keCzwaiAwvRap-QyA5gYJewpid7fOFwnD5ETDns3-ia_QHRYp5RIPWnc-cb__9_JITTpLso_AiXpwxCr6TxrKt5Ax_jzkL9_MGrHQl7BqUpCAecc_NccS4WAR6pmIiNexAMrXusn2a5VodFxv18BpgRv_dJ9w_a3tmYXBWAC1apSoXXlpaI96NIprXOUnJWyKGlYS1VsXc6YMYArDBOamvtFD74L9UaTLCj1n5GU1FKlTGE061c07eKFk91O9IgOc5YR0Uzu-VNhea0NB5SlwImhUJSE4Ab11RlJD_eg0Oc9g
也可以是POST请求。基本的返回值为:
HTTP/1.1 200 OK
Content-Type: application/json
{
"sub": "felord.cn"
}
如果你还想返回比如邮箱地址、头像、昵称、真实姓名之类的用户信息,需要携带额外的scope
。
OIDC还有很多东西,初学者掌握上面的基本功能即可,更多的功能需要参考OIDC官方文档[16]。OIDC的用途比原生的OAuth2更加广泛,它是一个完全开放的标准,兼容了其它的一些IDP协议。后续在合适的时机,我会在专栏中讲解如何运用这些协议。
专栏地址:
https://blog.csdn.net/qq_35067322/category_11691173.html
[1]OIDC术语列表: http://openid.net/specs/openid-connect-core-1_0.html#Terminology
[2]Core: https://openid.net/specs/openid-connect-core-1_0.html
[3]Discovery: https://openid.net/specs/openid-connect-discovery-1_0.html
[4]Dynamic Registration: https://openid.net/specs/openid-connect-registration-1_0.html
[5]OAuth 2.0 Multiple Response Types: https://openid.net/specs/oauth-v2-multiple-response-types-1_0.html
[6]OAuth 2.0 Form Post Response Mode: https://openid.net/specs/oauth-v2-form-post-response-mode-1_0.html
[7]RP-Initiated Logout: https://openid.net/specs/openid-connect-rpinitiated-1_0.html
[8]Session Management: http://openid.net/specs/openid-connect-session-1_0.html
[9]Front-Channel Logout: http://openid.net/specs/openid-connect-frontchannel-1_0.html
[10]Back-Channel Logout: http://openid.net/specs/openid-connect-backchannel-1_0.html
[11]OpenID Connect Federation: https://openid.net/specs/openid-connect-federation-1_0.html
[12]Initiating User Registration via OpenID Connect: https://openid.net/specs/openid-connect-prompt-create-1_0.html
[13]Basic Client Implementer’s Guide: https://openid.net/specs/openid-connect-basic-1_0.html
[14]Implicit Client Implementer’s Guide: https://openid.net/specs/openid-connect-implicit-1_0.html
[15]OpenID 2.0 to OpenID Connect Migration 1.0: https://openid.net/specs/openid-connect-migration-1_0.html
[16]OIDC官方文档: https://openid.net/developers/specs/