基于OIDC的SSO单点登录

已于 2023-07-05 14:34:54 修改
阅读量2.5k 收藏 3
点赞数 1
分类专栏： 协议标准 文章标签： OIDC SSO 协议标准
于 2023-07-05 14:30:03 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_42482078/article/details/131555103
版权
本文介绍了SSO（SingleSign-On）单点登录的概念，它允许用户在一次登录后访问多个系统。OIDC（OpenIDConnect）是基于OAuth2.0的身份验证标准，解决了OAuth2.0的身份认证问题。重点讨论了OIDC中的授权码模式，包括授权流程、授权码的获取及其在安全Web应用程序中的应用。此外，文章还概述了不同授权模式的适用场景。
摘要由CSDN通过智能技术生成

文章目录

什么是SSO（Single Sign On）单点登录

SSO单点登录：是指用户的一次性鉴权登录。即用户在身份验证服务器服务器登录一次后，在身份验证服务器的注册服务中即可自动完成登录验证的功能。简单来说，就是在有多个系统时，只需要登录一次，其他服务即可自动感知获取到用户的登录状态。
单点登录的主要核心是身份验证服务器。在身份验证服务器中注册了用户的具体信息和可信应用。在其他服务获取登录状态时，是通过相关协议直接访问身份验证服务器获取用户的登录状态和身份完成登录的授权操作的。

OIDC（Open ID Connect）

OIDC = (Identity, Authentication) + OAuth2.0
OIDC是一个基于OAuth2.0协议的身份认证标准协议。OIDC使用OAuth2的授权服务器来为可信任客户端提供用户的身份认证，并把对应的身份认证信息传递给客户端，且可以适用于各种类型的客户端，且完全兼容OAuth2。
OIDC基于OAuth2.0，使用access token来授权可信任应用访问保护信息。同时，OIDC提供id token来解决OAuth2无法进行用户身份认证的问题。OIDC将用户身份认证信息以id token的形式传递给可信任应用。可信任应用在验证id token后进一步通过OAtuh2获取access token读取更多信息。

SSO服务授权流程（OIDC）

应用系统注册：应用在身份验证服务器中进行注册登记。设置应用的回调函数，生成应用ID、secret等信息。

授权模式

OIDC根据用户的身份类型和设置的授权模式方法的不同，具有不同的授权流程。根据自己的授权模式执行具体的流程。

授权码模式

授权码模式构建构建能够安全存储机密的服务器端（或 Web）应用程序，如带后端的相关程序。
授权码模式

授权码模式授权流程
  • 携带有应用服务器生成的state(防止CSRF跨域攻击)和在认证服务器注册的信息重定向到认证服务器的/authorize授权接口
  • 认证服务器重定向登录界面给用户（若用户已登录，则处理器会在短时间内完成重定向和认证服务，前端登录界面未加载显示前已完成相关步骤）
  • 用户进行身份认证
  • 完成认证后，认证服务器返回一个可过时的授权码code到应用程序（code数据用来向认证服务器交换token信息，code数据具有时效性，所以请在其失效之前及时获取具体的token信息）
  • 应用服务器携带认证的code信息和应用信息请求认证服务器的/token接口获取用户的access_token信息
  • 认证服务器将access_token返回给应用服务器
  • 用户根据access_token获取需要认证的相关用户身份信息
请求授权码过程
https://${AuthorizeUri}?client_id=${ClientId}&response_type=code&scope=openid&redirect_uri=${RedirectUri}&state=${State}
  • 请求授权码：
    • AuthorizeUri: 认证服务器的授权接口地址
    • ClientId: 应用服务器在认证服务器中注册的客户端ID
    • RedirectUri: 应用服务器在认证服务器中注册的应用服务器回调地址
    • State: 应用服务器生成state用来防止CSRF跨域攻击
curl -v -X POST \
	-H "Content-type:application/x-www-form-urlencoded" \
	"https://${TokenUri}" \
	-d "client_id=${ClientId}&client_secret=${ClientSecret}&grant_type=authorization_code&redirect_uri=${RedirectUri}&code=${Code}"
  • 通过code获取access_token信息：
    • application/x-www-form-urlencoded: 在调用接口获取access_token时，其Content-type应设置为application/x-www-form-urlencoded类型
    • TokenUri: 认证服务器的获取令牌token接口地址
    • ClientSecret: 应用服务器在认证服务器中注册的应用服务器Secret信息
    • Code: 上一步获取到的授权码Code信息，或调用失败，可检测授权码是否过期

授权模式对比总结

本文只对前后端授权常见的授权码模式做详细介绍，其他授权模式可自行了解，这里只做简单介绍。

授权模式适用情况说明
授权码模式（Authorization Code）能够安全存储机密的服务器端（或 Web）应用程序通过授权服务获取授权码code，通过code换取可用的access_token完成授权
带有PKCE的授权码模式（Authorization Code with PKCE适用于构建原生应用程序，如前端SPA服务，桌面、移动端程序等带PKCE的授权码模式授权流程与授权码模式类似，只是在开始和结束时有一个额外的PKCE验证的过程
客户凭证模式（Client Credentials）客户凭证模式适用于没有最终用户的服务器端（“机密”）客户端应用程序，通常是机器对机器通信。如微服务调用等场景。应用程序根据ClientId和ClientSecret获取access_token完成授权
隐含模式（Implicit）不推荐使用不安全，隐含模式等token信息在url在携带，容易被窃取或篡改，推荐改为带有PKCE的授权码模式完成授权
交互代码（Interaction Code）交互代码授权通常由本机、前端SPA和Web客户端应用程序使用，这些应用程序希望直接与用户交互并在用户和授权服务器之间进行调解，而不是使用基于浏览器的重定向来传递身份验证。交互代码流程类似于带PKCE的授权码授权流程。所有客户端都需要传递ClientId以及Code交换证明密钥(PKCE)以确保流程安全。Web应用程序等机密客户端还必须在其授权请求中传递客户端密钥。
直接身份验证-单因素带外数据（out-of-band，OOB）验证当希望应用程序直接对用户进行身份验证时，可以使用直接身份验证。带外因素是一种需要通过单独的通信通道以及初始用户凭据进行二次验证方法的因素。传输层协议使用带外数据来发送一些重要的数据，如果通信一方有重要的数据需要通知对方时，协议能够将这些数据快速地发送到对方
直接身份验证-单因素动态密码 (one-time passcode，OTP)验证当希望应用程序直接对用户进行身份验证时，可以使用直接身份验证。动态口令也称一次性密码，是指用户的密码按照时间或使用次数不断动态变化,每个密码只使用一次
直接身份验证-多因素带外数据（multifactor out-of-band，MFA OOB）验证当希望应用程序直接对用户进行身份验证时，可以使用直接身份验证。采用OOB作为次要验证因素进行授权认证
直接身份验证-多因素动态密码 (one-time passcode，OTP)验证当希望应用程序直接对用户进行身份验证时，可以使用直接身份验证。采用OTP作为次要验证因素进行授权认证
资源所有者密码（Resource Owner Password）不推荐使用适用于没有其他流程的应用程序，因为它要求应用程序代码完全受信任并免受凭据窃取攻击。主要用途是为遗留应用程序提供一致且可预测的集成模式，否则这些应用程序无法更新为更安全的流程。
SAML2.0断言（SAML 2.0 Assertion）适用于能够从SMAL认证提供商获取有效、签名的SMAL授权，希望使用现有信任关系而无需在授权服务器上进行直接用户批准步骤的客户端应用程序。SMAL2.0断言从SMAL身份提供商获取有效、签名的SMAL授权，然后将其交换为来自OAuth授权服务器的OAuth访问令牌
北溪入江流
关注
专栏目录
使用OIDC进行DataEase单点登录编程
DevProZ的博客
09-15 160
OIDC是建立在OAuth2.0协议之上的一种身份验证协议，它提供了一种安全的方式来验证用户身份并获取有关用户的信息。通过以上的代码示例，我们可以在DataEase中实现使用OIDC进行单点登录的功能。当用户访问需要登录状态的资源时，系统将自动重定向到OIDC提供者的登录页面，并在登录成功后获取用户信息。请注意，以上示例中的配置和代码仅供参考，实际应用中需要根据具体的OIDC提供者和业务需求进行适当的修改和调整。本文将介绍如何使用OIDC协议在DataEase中实现单点登录，并提供相应的源代码。
基于OIDC实现单点登录SSO、第三方登录
热门推荐
u012324798的博客
04-20 1万+
OIDC联合身份认证机制背景概念1 OIDC身份认证协议2 基于OIDC实现SSO2.1 统一登录2.1.1 流程2.1.2 RP相关接口2.1.3 OP相关接口2.2 统一登出2.2.1 流程2.2.2 RP需要在向OP注册时提供2.2.3 RP相关接口2.2.4 OP相关接口2.3 持续监视2.3.1 流程2.3.2 RP相关接口2.3.3 OP相关接口3 在OIDC的SSO中集成第三方登录（...
如何通过 OIDC 协议实现单点登录？
Authing 身份云
03-27 5152
什么是单点登录 我们通过一个例子来说明，假设有一所大学，内部有两个系统，一个是邮箱系统，一个是课表查询系统。现在想实现这样的效果：在邮箱系统中登录一遍，然后此时进入课表系统的网站，无需再次登录，课表网站系统直接跳转到个人课表页面，反之亦然。比较专业的定义如下： 单点登录（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。 SSO 的定义是在多个应用系统中...
Spring OAuth2.0 OIDC详解
最新发布
onePlus5T的博客
08-22 1398
OAuth2.0 OIDC详解
[OIDC in Action] 3. 基于OIDC（OpenID Connect）的SSO（添加Github OAuth 2.0的支持）
ahilll的博客
12-01 694
在上上一篇基于OIDC的SSO的登录页面的截图中有出现QQ登录的地方。这个其实是通过扩展OIDC的OpenID Provider来实现的，OpenID Provider简称OP，OP是OIDC的一个很重要的角色，OIDC用它来实现兼容众多的用户认证方式的，比如基于OAuth2，SAML和WS-Federation等等的用户认证方式。关于OP在[认证授权] 4.OIDC(OpenId Connect...
单点登录：SAML、OAuth2、OIDC 的区别与联系
Lvlht的博客
04-24 1971
进一步的，同一个Client在不同Application Server可能也有不同的权限，这时候Authentication Server就需要包含Authorization Server（授权服务）功能。举个例子，我登录CSDN的时候，有个选项是是否使用微信登录，如果使用微信登录，就会从微信服务获取用户信息并登录。OIDC的核心在于授权过程中，一并提供用户的身份认证信息ID-Token(使用JWT来包装）给到第三方客户端，OP通常还提供了GetUserInfo的接口，用于获取用户更完整的信息。
vue项目使用oidc-client实现单点登陆
qq_43340606的博客
07-06 4866
1. 安装oidc-client 2. 单点登录所需配置项：oidc.js 3. 我们需要在路由钩子页面增加判断，如果没有token，则重定向到服务器进行单点登录 这个是我自己的项目这样用router钩子来判断权限，如果你们没有用到也没关系，忽略掉router，直接执行else中的内容，如果没有token，页面会跳转到服务器进行登录3、下面是登录完成后会回到我们系统中的操作 4、执行回调后，跳转到home页面（系统首页），至此整体流程结束。 源码地址: https://git
SSO单点登陆
qq_41765182的博客
07-16 1400
SSO单点登录系统总结
单点登录（SSO）
weixin_38015542的博客
07-02 3018
单点登录（Single Sign-on， SSO）
基于OIDC（OpenID Connect）的SSO
dotNET跨平台
11-27 9169
在[认证授权]系列博客中，分别对OAuth2和OIDC在理论概念方面进行了解释说明，其间虽然我有写过一个完整的示例（https://github.com/linianhui/oidc.example），但是却没有在实践方面做出过解释。在这里新开一个系列博客，来解释其各种不同的应用场景。因为OIDC是在OAuth2之上的协议，所以这其中也会包含OAuth2的一些内容。 OIDC协议本身有很多的
架构面试-场景题-单点登录(SSO)怎么实现的
program哲学
07-07 249
本文详细介绍单点登录的各个方案及优缺点
[OIDC in Action] 1. 基于OIDC（OpenID Connect）的SSO
weixin_34240657的博客
11-26 614
在[认证授权]系列博客中，分别对OAuth2和OIDC在理论概念方面进行了解释说明，其间虽然我有写过一个完整的示例（https://github.com/linianhui/oidc.example），但是却没有在实践方面做出过解释。在这里新开一个系列博客，来解释其各种不同的应用场景。因为OIDC是在OAuth2之上的协议，所以这其中也会包含OAuth2的一些内容。 OIDC协议本身有很多的开源...
基于IdentityServer4的OIDC实现单点登录(SSO)原理简析
dotNET跨平台
08-24 1979
# 写在前面IdentityServer4的学习断断续续，兜兜转转，走了不少弯路，也花了不少时间。可能是因为没有阅读源码，也没有特别系统的学习资料，相关文章很多园子里的大佬都有涉及，...
【登录知多少，OIDC 大家都在用，一文速通流程 】
qq_38428433的博客
07-28 816
OIDC（OpenID Connect）是一个基于 OAuth 2.0 的身份验证协议，用于在应用程序之间安全地传递身份信息。OIDC提供了 身份验证，单点登录（SSO）等功能。用户请求登录• 用户通过客户端（应用程序）请求登录。• 客户端将用户重定向到授权服务器的登录页面。用户认证• 用户在授权服务器的登录页面输入凭据进行认证。•授权服务器验证用户身份后，生成一个授权码，并将用户重定向回客户端。交换授权码• 客户端接收到授权码后，向三方平台后端发送请求。• 三方平台后端 在拿着授权码。
轻量级 SSO 方略：基于 OIDC 规范（一）
zhangxin09的专栏
10-29 422
OIDC 是 OpenID Connect，见官网介绍。OIDC 为用户身份认证提供了明确的规范指南，以方便我们更好地设计一个 SSO 产品。
授权协议OAuth 2.0之通过OIDC实现SSO
wang0907的博客
04-24 1455
OIDC的全称是openid connect，和OAuth2.0一样，也是属于协议和规范的范畴。OAuth2.0是一种授权协议，即规定了的内容。而OIDC是OAuth2.0的超集，不仅规定了，还定义了的内容，即OIDC不仅是授权协议，也是一种认证协议。实际上，OIDC也正是在OAuth2.0的基础上做了扩展，从而支持了身份认证的功能，如下图：1：受保护资源的拥有者一般是我们自己2：受保护的资源一般就是HTTP的接口形式的API，当然也可以是其他形式3：三方软件一般是希望拿到受保护资源的角色。
单点登陆解决方案
dnvdnv的专栏
12-19 1295
 1.            概述单点登录是指用户在其中一个系统登录之后，用户再漫游至其他相关系统时，不需要重复的登录。真正使用户感觉到“一点登录、全网通行”。该实现方式 ， 我们采用了目前比较流行的COOKIE认证的方式。其实现示意图如下：2.            原理说明统一验证由用户首次登陆Web页面时向用户浏览器写一个包含用户账号,用户Token的Cookie信息。并
基于flask-oidc的OIDC协议授权码模式单点登录SSO实现
focus：Follow One Cause Until Success
07-05 2068
作为中间参数，并不携带我们希望获得的用户信息，无法完成登录操作。flask-oidc无法自动根据。时完成授权认证操作。认证服务器执行完后，返回应用系统回调地址。获取toekn，所以我们需要手动发起请求获取token令牌。关于SSO单点登录、OIDC协议、授权码模式等相关概念详见。方法进行编码，否则认证系统可能无法识别参数信息。装饰器可以根据当前的参数信息，自动前往配置的。装饰器，认证系统会返回防止跨域的。携带应用信息作为参数请求。其中，请求参数应设置为。在授权码模式下，调用。
OIDC 单点登录 流程
08-04
OIDC（OpenID Connect）单点登录流程如下： 1. 用户访问应用，应用检测到用户未登录。 2. 应用重定向用户到 OIDC Provider（身份提供者）的登录页面。 3. 用户在 OIDC Provider 的登录页面输入用户名和密码进行身份验证。 4. OIDC Provider 验证用户身份成功后，生成一个临时授权码（一个随机字符串）。 5. OIDC Provider 将临时授权码重定向回应用的业务回调地址，并将授权码作为参数传递。 6. 应用收到授权码后，使用授权码向 OIDC Provider 发送请求，请求换取访问令牌（access token）和身份令牌（id token）。 7. OIDC Provider 验证授权码的有效性，并向应用返回访问令牌和身份令牌。 8. 应用使用访问令牌和身份令牌来访问 OIDC Provider 的资源接口，获取用户的信息。 9. 应用使用用户信息进行用户认证和授权，完成用户登录过程。 需要注意的是，以上流程是基于 OIDC 协议的标准流程，具体实现可能会有一些差异。此外，OIDC Provider 的登录状态会在用户登录成功后进行维护，如果用户已经登录过，OIDC Provider 会直接重定向回应用，并携带临时授权码，省去用户再次输入用户名和密码的步骤。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

北溪入江流

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值