[認證授權] 5.OIDC（OpenId Connect）身份認證授權（擴充套件部分）

阿新 • • 發佈：2019-01-16

在上一篇[認證授權] 4.OIDC（OpenId Connect）身份認證授權（核心部分）中解釋了OIDC的核心部分的功能，即OIDC如何提供id token來用於認證。由於OIDC是一個協議族，如果只是簡單的只關注其核心部分其實是不足以搭建一個完整的OIDC服務的。本篇則解釋下OIDC中比較常用的幾個相關擴充套件協議，可以說是搭建OIDC服務必備的幾個擴充套件協議（在上一篇中有提到這幾個協議規範）：

Discovery：可選。發現服務，使客戶端可以動態的獲取OIDC服務相關的元資料描述資訊（比如支援那些規範，介面地址是什麼等等）。
OAuth 2.0 Form Post Response Mode

：可選。針對OAuth2的擴充套件，OAuth2回傳資訊給客戶端是通過URL的querystring和fragment這兩種方式，這個擴充套件標準提供了一基於form表單的形式把資料post給客戶端的機制。
會話管理：Session Management ：可選。Session管理，用於規範OIDC服務如何管理Session資訊；

1 OIDC Discovery 規範

顧名思義，Discovery定義了一個服務發現的規範，它定義了一個api（ /.well-known/openid-configuration ），這個api返回一個json資料結構，其中包含了一些OIDC中提供的服務以及其支援情況的描述資訊，這樣可以使得oidc服務的RP可以不再硬編碼OIDC服務介面資訊。這個api返回的示例資訊

如下（這裡面只是一部分，更完整的資訊在官方的規範中有詳細的描述和解釋說明：http://openid.net/specs/openid-connect-discovery-1_0.html）：

相信大家都看得懂的，它包含有授權的url，獲取token的url，登出token的url，以及其對OIDC的擴充套件功能支援的情況等等資訊，這裡就不再詳細解釋每一項了。

2 OAuth2 擴充套件：Multiple Response Types

code：oauth2定義的。用於獲取authorization_code。
token：oauth2定義的。使用者獲取access_token。
id_token：OIDC定義的。使用者獲取id_token。

至此OIDC是支援三種類型的response_type的，不但如此，OIDC還允許了可以組合這三種類型，即在一個response_type中包含多個值（空格分隔）。比如當引數是這樣的時候 response_type=id_token token ，OIDC服務就會把access_token和id_token一併給到呼叫方。OIDC對這些型別的支援情況體現在上面提到的Discovery服務中返回的response_types_supported欄位中：

3 OAuth2 擴充套件：Form Post Response Mode

在oauth2的授權碼流程中，當response_type設定為code的時候，oauth2的授權服務會把authorization_code通過url的query部分傳遞給呼叫方，比如這樣“https://client.lnh.dev/oauth2-callback?code=SplxlOBeZQQYbYS6WxSbIA&state=xyz”。

在oauth2的隱式授權流程中，當response_type設定為token的時候，oauth2的授權服務會直接把access_token通過url的fragment部分傳遞給呼叫方，比如這樣“http://client.lnh.dev/oauth2-callback#access_token=2YotnFZFEjr1zCsicMWpAA&state=xyz&expires_in=3600”；

在oauth2中，上面的兩種情況是其預設行為，並沒有通過引數來顯示的控制。OIDC在保持oauth2的預設行為的基礎上，增加了一個名為response_mode的引數，並且增加了一種通過form表單傳遞資訊的方式，即form_post（詳細資訊定義在http://openid.net/specs/oauth-v2-form-post-response-mode-1_0.html）。OIDC服務對這個擴充套件的支援情況體現在上面提到的Discovery服務中返回的response_modes_supported欄位中：

當reponse_mode設定為form_post的時候，OIDC則會返回如下的資訊：

  <html>
   <head><title>Submit This Form</title></head>
   <body onload="javascript:document.forms[0].submit()">
    <form method="post" action="https://client.lnh.dev/oidc-callback">
      <input type="hidden" name="state"
       value="DcP7csa3hMlvybERqcieLHrRzKBra"/>
      <input type="hidden" name="id_token"
       value="eyJhbGciOiJSUzI1NiIsImtpZCI6IjEifQ.eyJzdWIiOiJqb2huIiw
         iYXVkIjoiZmZzMiIsImp0aSI6ImhwQUI3RDBNbEo0c2YzVFR2cllxUkIiLC
         Jpc3MiOiJodHRwczpcL1wvbG9jYWxob3N0OjkwMzEiLCJpYXQiOjEzNjM5M
         DMxMTMsImV4cCI6MTM2MzkwMzcxMywibm9uY2UiOiIyVDFBZ2FlUlRHVE1B
         SnllRE1OOUlKYmdpVUciLCJhY3IiOiJ1cm46b2FzaXM6bmFtZXM6dGM6U0F
         NTDoyLjA6YWM6Y2xhc3NlczpQYXNzd29yZCIsImF1dGhfdGltZSI6MTM2Mz
         kwMDg5NH0.c9emvFayy-YJnO0kxUNQqeAoYu7sjlyulRSNrru1ySZs2qwqq
         wwq-Qk7LFd3iGYeUWrfjZkmyXeKKs_OtZ2tI2QQqJpcfrpAuiNuEHII-_fk
         IufbGNT_rfHUcY3tGGKxcvZO9uvgKgX9Vs1v04UaCOUfxRjSVlumE6fWGcq
         XVEKhtPadj1elk3r4zkoNt9vjUQt9NGdm1OvaZ2ONprCErBbXf1eJb4NW_h
         nrQ5IKXuNsQ1g9ccT5DMtZSwgDFwsHMDWMPFGax5Lw6ogjwJ4AQDrhzNCFc
         0uVAwBBb772-86HpAkGWAKOK-wTC6ErRTcESRdNRe0iKb47XRXaoz5acA"/>
    </form>
   </body>
  </html>

這是一個會在html載入完畢後，通過一個自動提交的form表單，把id_token，access_token，authorization_code或者其他的相關資料POST到呼叫方指定的回撥地址上。

4 OIDC 會話管理

綜合上篇提到的idtoken和前面的discovery服務以及針對oauth2的擴充套件，則可以讓OIDC服務的RP完成使用者認證的過程。那麼如何主動的撤銷這個認證呢（也就是我們常說的退出登入）？總結來說就是其認證的會話管理，OIDC單獨定義了3個獨立的規範來完成這件事情：

其中Session Management是OIDC服務自身管理會話的機制；Back-Channel Logout則是定義在純後端服務之間的一種登出機制，應用場景不多，這裡也不詳細解釋了。這裡重點關注一下Front-Channel Logout這個規範（http://openid.net/specs/openid-connect-frontchannel-1_0.html），它的使用最為廣泛，其工作的具體的流程如下（結合Session Management規範）：

在上圖中的2和3屬於session management這個規範的一部。其中第2步中，odic的退出登入的地址是通過Discovery服務中返回的end_session_endpoint欄位提供的RP的。其中還有一個check_session_iframe欄位則是供純前端的js應用來檢查oidc的登入狀態用的。

4567這四步則是屬於front-channel logout規範的一部分，OIDC服務的支援情況在Discovery服務中也有對應的欄位描述：

4567這一部分中重點有兩個資訊：

RP退出登入的URL地址（這個在RP註冊的時候會提供給OIDC服務）；
URL中的sessionid這個引數，這個引數一般是會包含在idtoken中給到OIDC客戶端，或者在認證完成的時候以一個獨立的sessionid的引數給到OIDC客戶端，通常來講都是會直接把它包含在IDToken中以防止被篡改。

5 總結

本篇部落格介紹了OIDC的發現服務，OAuth2的兩個擴充套件規範，以及OIDC管理會話的機制。至此則可以構成一個完整的認證和退出的流程。其中有一點需要特別注意，這個流程中用到的token是OIDC定義的IDToken，IDToken，

6 Example

筆者基於IdentityServer3和IdentitySever4（兩者都是基於OIDC的一個.NET版本的開源實現）寫的一個整合SSO，API訪問授權控制，QQ聯合登陸（作為OP）的demo：https://github.com/linianhui/oidc.example 。

[認證授權] 5.OIDC（OpenId Connect）身份認證授權（擴充套件部分）

1 OIDC Discovery 規範

2 OAuth2 擴充套件：Multiple Response Types

3 OAuth2 擴充套件：Form Post Response Mode

4 OIDC 會話管理

5 總結

6 Example

參考

[認證授權] 5.OIDC（OpenId Connect）身份認證授權（擴充套件部分）

[認證授權] 4.OIDC（OpenId Connect）身份認證授權（核心部分）

ASP.NET Core的身份認證框架IdentityServer4（9）-使用OpenID Connect新增使用者認證

基於OIDC（OpenID Connect）的SSO

ASP.NET Core 認證與授權[3]:OAuth & OpenID Connect認證

413day（版心三個模組中的左中部分）

mybatis使用foreach批次插入，解決sequence只查詢一次的問題（在此，我只看union all 部分）

OpenID Connect Core 1.0（四）使用授權碼流驗證（上）

CentOS6.5下搭建ftp服務器（三種認證模式：匿名用戶、本地用戶、虛擬用戶）

項目一:第十二天 1、常見權限控制方式 2、基於shiro提供url攔截方式驗證權限 3、在realm中授權 5、總結驗證權限方式（四種） 6、用戶註銷7、基於treegrid實現菜單展示

OpenID Connect Core 1.0（一）介紹

OpenID Connect Core 1.0（二）ID Token

OpenID Connect Core 1.0（八）從第三方發起登入

OpenID Connect Core 1.0（九）聲明(Claims)

OpenID Connect Core 1.0（六）使用隱式驗證流

阿里雲大資料ACP認證知識點梳理5——基礎SQL語句（DML部分）

OpenID Connect Core 1.0（九）宣告(Claims)

restframework（5）：認證元件

Angular SPA基於Ocelot API閘道器與IdentityServer4的身份認證與授權（四）

Asp.net MVC使用FormsAuthentication，MVC和WEB API可以共享身份認證（轉載）

[認證授權] 5.OIDC（OpenId Connect）身份認證授權（擴充套件部分）

1 OIDC Discovery 規範

2 OAuth2 擴充套件：Multiple Response Types

3 OAuth2 擴充套件：Form Post Response Mode

4 OIDC 會話管理

5 總結

6 Example

參考

相關推薦