OIDC及其在RESTful AP与SPA架构下的SSO实现思路（第一版）

最新推荐文章于 2024-08-16 09:42:09 发布

weixin_34199405

最新推荐文章于 2024-08-16 09:42:09 发布

阅读量732

点赞数

文章标签： java json javascript ViewUI

原文链接：https://juejin.im/post/5a96368a6fb9a0633531dc9a

版权

前言

最近在对基于token做身份认证的项目中扩展sso。

背景

项目大致架构如下

其中服务器端是RESTful风格的API服务器，客户端基于Vue开发的SPA。

身份认证是基于token，客户端登录之后，服务器端验证并发送JWT token给客户端，客户端将token存入localStorage中并每次恢复到Vuex中，客户端每次请求都会在HTTP自定义头部中附带token。

本文简述下我对OIDC解决方案的简单理解以及基于上述架构实现sso的思路。

正文

OIDC的官方解释如下

OpenID Connect 1.0 is a simple identity layer on top of the OAuth 2.0 protocol. It allows Clients to verify the identity of the End-User based on the authentication performed by an Authorization Server, as well as to obtain basic profile information about the End-User in an interoperable and REST-like manner.

也就是OAuth2.0只解决了资源的访问和分享，OIDC则基于此实现了用户的认证。它的主要目的是提供一次登录，多个站点享有登录状态。也就是当用户在某一使用OIDC的网站登录时，用户被重定向到OpenID站点登录，然后重定向回原来网站。

OIDC已经有很多的企业在使用，比如Google的账号认证授权体系，Microsoft的账号体系也部署了OIDC，当然这些企业有的也是OIDC背后的推动者。

OAuth2提供了Access Token来解决授权第三方客户端访问受保护资源的问题；相似的，OIDC在这个基础上提供了ID Token来解决第三方客户端标识用户身份认证的问题。OIDC的核心在于在OAuth2的授权流程中，一并提供用户的身份认证信息（ID-Token）给到第三方客户端，ID-Token使用JWT格式来包装，得益于JWT（JSON Web Token）的自包含性，紧凑性以及防篡改机制，使得ID-Token可以安全的传递给第三方客户端程序并且容易被验证。应用服务器，在验证ID-Token正确之后，使用Access-Token向接口换取用户的更多的信息。

OIDC到底怎么运行的

第一期先从简，也不讨论什么OIDC协议族，就单单说一下OIDC是怎么运作的。以还是以午安网举例。

如果我要使用大午安账号登入午安空间网站，那么这个大致流程如下：

使用Implicit Flow

首先午安空间会发送授权请求给oidc-server
如果已经登录了，oidc-server会返回一个“证件”或者如果你没登录会要求你登录，然后询问你是否授权给午安空间某些权限比如邮件地址等（当然午安这个例子里面不存在，因为肯定都是全权限）。
一旦你确定并授权了这次登录，oidc-server会发送Acess-Token和ID Token（如果要求了），并跳转回午安空间网站。（可以通过url附带）
(认证) 午安空间网站获得ID-Token之后，使用oidc-server提供的公钥解密验证。
然后午安空间就可以通过之前得到的Access-Token去访问oidc-server获取用户信息了

午安网实现SSO的全流程设计

设计可能比较粗糙或者有问题，如果有问题希望评论一下帮我修正修正。设计使用的是Implicit Flow。

单点登录

主动登出

没啥好说的，客户端清理自己的状态，然后发出登出请求给oidc-server。

被动登出

这块就找到了一个网上的例子

其利用oipc协议族里的Discovery服务中提供的一个check_session_iframe接口。

核心原理是让客户端插入一个oidc-server页面的iframe并周期性的检查，当我在“午安空间”点击登出的时候，会发出登出请求给oidc-server并触发oidc-server的站点清理自己的cookie，然后在之前客户端中使用check_session_iframe这个隐藏的iframe可以检测到这种变化，从而使得客户端可以得知用户已在再其他的应用的客户端退出登录，这时候就清理自己客户端的登录状态。

例子中的客户端代码