学习极客时间王新栋的《OAuth 2.0实战课》笔记:实战:利用OAuth 2.0实现一个OpenID Connect用户身份认证协议。
OIDC 是什么?
OIDC 其实就是一种用户身份认证的开放标准。使用微信账号登录极客时间的场景,就是这种开放标准的实践。
OIDC= 授权协议 + 身份认证
OAuth 2.0 的授权码许可流程的运转,需要资源拥有者、第三方软件、授权服务、受保护资源这 4 个角色间的顺畅通信、配合才能够完成,
在 OIDC 的官方标准框架中,EU、RP 和 OP 这三个角色对于 OIDC 非常重要:
- EU(End User),代表最终用户。
- RP(Relying Party),代表认证服务的依赖方,就是上面我提到的第三方软件。
- OP(OpenID Provider),代表提供身份认证服务方。
借助极客时间的例子,来看一下 OAuth 2.0 的 4 个角色和 OIDC 的 3 个角色之间的对应关系:
OIDC 和 OAuth 2.0 的关键区别
OIDC 就是基于 OAuth 2.0 来实现的一个身份认证协议框架,OIDC 的通信流程图帮助理解OIDC 和 OAuth 2.0 的关系:
一个基于授权码流程的 OIDC 协议流程,跟 OAuth 2.0 中的授权码许可的流程几乎完全一致,唯一的区别就是多返回了一个 ID_TOKEN,我们称之为 ID 令牌。这个令牌是身份认证的关键。
OIDC 中的 ID 令牌生成和解析方法
在上面图 2 的 OIDC 通信流程的第 6 步,我们可以看到 ID 令牌(ID_TOKEN)和访问令牌(ACCESS_TOKEN)是一起返回的。,令牌不需要被第三方软件解析,因为它对第三方软件来说是不透明的。但 ID 令牌需要能够被第三方软件解析出来,因为第三方软件需要获取 ID 令牌里面的内容,来处理用户的登录态逻辑。
ID 令牌的内容是什么呢?
5 个 JWT 声明参数也是必须要有的。
- iss,令牌的颁发者,其值就是身份认证服务(OP)的 URL。
- sub,令牌的主题,其值是一个能够代表最终用户(EU)的全局唯一标识符。
- aud,令牌的目标受众,其值是三方软件(RP)的 app_id。
- exp,令牌的到期时间戳,所有的 ID 令牌都会有一个过期时间。
- iat,颁发令牌的时间戳。
实例代码如下:
//GENATE ID TOKEN
String id_token=genrateIdToken(appId,user);
private String genrateIdToken(String appId,String user){
String sharedTokenSecret="hellooauthhellooauthhellooauthhellooauth";//秘钥
Key key = new SecretKeySpec(sharedTokenSecret.getBytes