如何基於Security實現OIDC單點登錄?

語言: CN / TW / HK

mark

一、説明

本文主要是給大家介紹 OIDC 的核心概念以及如何通過對 Spring Security 的授權碼模式進行擴展來實現 OIDC 的單點登錄。

OIDC 是 OpenID Connect 的簡稱,OIDC=(Identity, Authentication) + OAuth 2.0。它在 OAuth2 上構建了一個身份層,是一個基於 OAuth2 協議的身份認證標準協議。我們都知道 OAuth2 是一個授權協議,它無法提供完善的身份認證功能,OIDC 使用 OAuth2 的授權服務器來為第三方客户端提供用户的身份認證,並把對應的身份認證信息傳遞給客户端,且完全兼容 OAuth2。

PS:理解 OIDC 的前提是需要理解 OAuth2,如果對 OAuth2 的單點登錄的原理和流程還不太瞭解的可以看我之前的文章《Spring Security基於Oauth2的SSO單點登錄怎樣做?一個註解搞定

 

二、OIDC核心概念

OAuth2 提供了 Access Token 來解決授權第三方 客户端 訪問受保護資源的問題;OIDC 在這個基礎上提供了 ID Token 來解決第三方客户端標識用户身份認證的問題。OIDC 的核心在於 OAuth2 的授權流程中,一併提供用户的身份認證信息 ID Token 給到第三方 客户端ID Token 使用 JWT 格式來包裝。

 

OIDC協議授權返回示例

{
    "resp_code": 200,
    "resp_msg": "ok",
    "datas": {
        "access_token": "d1186597-aeb4-4214-b176-08ec09b1f1ed",
        "token_type": "bearer",
        "refresh_token": "37fd65d8-f017-4b5a-9975-22b3067fb30b",
        "expires_in": 3599,
        "id_token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwOi8vemx0MjAwMC5jbiIsImlhdCI6MTYyMTY5NjU4MjYxNSwiZXhwIjoxNjIxNjk2NjQyNjE1LCJzdWIiOiIxIiwibmFtZSI6IueuoeeQhuWRmCIsImxvZ2luX25hbWUiOiJhZG1pbiIsInBpY3R1cmUiOiJodHRwOi8vcGtxdG1uMHAxLmJrdC5jbG91ZGRuLmNvbS_lpLTlg48ucG5nIiwiYXVkIjoiYXBwIiwibm9uY2UiOiJ0NDlicGcifQ.UhsJpHYMWRmny45K0CygXeaASFawqtP2-zgWPDnn0XiBJ6yeiNo5QAwerjf9NFP1YBxuobRUzzhkzRikWGwzramNG9na0NPi4yUQjPNZitX1JzlIA8XSq4LNsuPKO7hS1ALqqiAEHS3oUqKAsjuE-ygt0fN9iVj2LyL3-GFpql0UAFIHhew_J7yIpR14snSh3iLVTmSWNknGu2boDvyO5LWonnUjkNB3XSGD0ukI3UEEFXBJWyOD9rPqfTDOy0sTG_-9wjDEV0WbtJf4FyfO3hPu--bwtM_U0kxRbfLnOujFXyVUStiCKG45wg7iI4Du2lamPJoJCplwjHKWdPc6Zw"
    }
}

可以看到與普通的 OAuth2 相比返回的信息中除了有 access_token 之外還多出了 id_token 屬性。

 

三、什麼是 ID Token

ID Token 是一個安全令牌,由授權服務器提供的包含用户信息的 JWT 格式的數據結構,得益於 JWT(JSON Web Token)的自包含性,緊湊性以及防篡改機制,使得 ID Token 可以安全的傳遞給第三方客户端程序並且容易被驗證。

 

id_token包含以下內容

{
  "iss": "http://zlt2000.cn",
  "iat": 1621696582615,
  "exp": 1621696642615,
  "sub": "1",
  "name": "管理員",
  "login_name": "admin",
  "picture": "http://xxx/頭像.png",
  "aud": "app",
  "nonce": "t49bpg"
}
  • iss:令牌頒發者
  • iat:令牌頒發時間戳
  • exp:令牌過期時間戳
  • sub:用户id
  • name:用户姓名
  • login_name:用户登錄名
  • picture:用户頭像
  • aud:令牌接收者,OAuth應用ID
  • nonce:隨機字符串,用來防止重放攻擊

 

3.1. 與 JWT 的 Access Token 區別

是否可以直接使用 JWT 方式的 Access Token 並在 Payload 中加入用户信息來代替 ID Token 呢?

 

雖然在 Access Token 中可以加入用户的信息,並且是防篡改的,但是用户的每次請求都需要攜帶着 Access Token,這樣不但增加了帶寬,而且很容易泄露用户的信息。

 

3.2. 與 UserInfo 端點的區別

通常 OIDC 協議都需要另外提供了一個 Get /userinfo 的 Endpoint,需要通過 Access Token 調用該 Endpoint 來獲取詳細的用户信息,這個方法和 ID Token 同樣都可以獲取用户信息,那兩者有什麼區別呢?

 

相比較於 Get /userinfo 的接口使用 ID Token 可以減少遠程 API 調用的額外開銷;使用那個主要是看 需求,當你只需要獲取用户的基本信息直接使用 ID Token 就可以了,並不需要每次都通過 Access Token 去調用 Get /userinfo 獲取詳細的用户信息。

 

四、OIDC 單點登錄流程

下面我們看一個 OIDC 協議常用的場景,就是具有 獨立用户體系 系統間的單點登錄,意思指的是用户數據並不是統一共用的,而是每個系統都擁有自己獨立的用户數據,所以流程最後增加了一步 自動註冊用户

file

大部分的流程與 OAuth2 的授權碼模式相同這裏就不多講述了,其中下面兩個步驟需要説明一下:

  • 解析 ID Token 的公鑰可以是預先提供給第三方系統也可以是提供接口獲取。
  • 自動註冊用户 指的是第一次單點登錄的時候,由於用户信息不存在需要在本系統中生成該用户數據;例如你從未在 CSDN 中註冊也可以使用微信來登錄該網站。

 

五、Spring Security 實現

先説一下擴展最終的目標是需要達到以下效果:

  • 授權碼模式:/oauth/authorize?client_id={client_id}&redirect_uri={redirect_uri}&response_type=code
  • OIDC 模式:/oauth/authorize?client_id={client_id}&redirect_uri={redirect_uri}&response_type=code id_token

目標是要通過在 response_type 中的傳值來控制是否使用 OIDC 模式,如果使用則在 response_type 中增加 id_token 的值。

由於需要在 OAuth2 返回的內容中添加 ID Token 屬性,所以實現這個擴展的關鍵就是需要通過 Security 的 TokenEnhancer 來為 Token 添加自定義字段;

定義 TokenEnhancer 的 Bean 來擴展 Token:

file

通過授權的 response_type 參數來判斷是否需要生成 id_token。

生成 ID Token 的 JWT:

file

 

PS:上面只列出了部分關鍵代碼,完整代碼請通過下面的 demo 地址去下載。

 

六、完整的 demo 下載地址

https://gitee.com/zlt2000/microservices-platform/tree/master/zlt-demo/sso-demo/oidc-sso

 

掃碼關注有驚喜!

file