如何基于Security实现OIDC单点登录？

朴灿烈づ我的快乐病毒、 2022-08-28 11:41 181阅读 0赞

[java基础视频教程][java][Java视频教程|xin3721自学网李天生老师主讲java视频教程，适合入门及进阶者。![icon-default.png?t=L892][icon-default.png_t_L892]/images/20220828/c3df4e02bf6a4910bd8750bfc53d2ab3.png][java]

## 一、说明 ##

本文主要是给大家介绍 `OIDC` 的核心概念以及如何通过对 `Spring Security` 的授权码模式进行扩展来实现 OIDC 的单点登录。

`OIDC` 是 OpenID Connect 的简称，OIDC=(Identity, Authentication) + OAuth 2.0。它在 `OAuth2` 上构建了一个身份层，是一个基于 OAuth2 协议的身份认证标准协议。我们都知道 OAuth2 是一个授权协议，它无法提供完善的身份认证功能，OIDC 使用 OAuth2 的授权服务器来为第三方客户端提供用户的身份认证，并把对应的身份认证信息传递给客户端，且完全兼容 OAuth2。

**PS**：理解 OIDC 的前提是需要理解 OAuth2，如果对 OAuth2 的单点登录的原理和流程还不太了解的可以看我之前的文章《[Spring Security基于Oauth2的SSO单点登录怎样做？一个注解搞定][Spring Security_Oauth2_SSO]》

## 二、OIDC核心概念 ##

OAuth2 提供了 `Access Token` 来解决授权第三方 `客户端` 访问受保护资源的问题；OIDC 在这个基础上提供了 `ID Token` 来解决第三方客户端标识用户身份认证的问题。OIDC 的核心在于 OAuth2 的授权流程中，一并提供用户的身份认证信息 `ID Token` 给到第三方 `客户端`，`ID Token` 使用 `JWT` 格式来包装。

**OIDC协议授权返回示例**：

{
        "resp_code": 200,
        "resp_msg": "ok",
        "datas": {
            "access_token": "d1186597-aeb4-4214-b176-08ec09b1f1ed",
            "token_type": "bearer",
            "refresh_token": "37fd65d8-f017-4b5a-9975-22b3067fb30b",
            "expires_in": 3599,
            "id_token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwOi8vemx0MjAwMC5jbiIsImlhdCI6MTYyMTY5NjU4MjYxNSwiZXhwIjoxNjIxNjk2NjQyNjE1LCJzdWIiOiIxIiwibmFtZSI6IueuoeeQhuWRmCIsImxvZ2luX25hbWUiOiJhZG1pbiIsInBpY3R1cmUiOiJodHRwOi8vcGtxdG1uMHAxLmJrdC5jbG91ZGRuLmNvbS_lpLTlg48ucG5nIiwiYXVkIjoiYXBwIiwibm9uY2UiOiJ0NDlicGcifQ.UhsJpHYMWRmny45K0CygXeaASFawqtP2-zgWPDnn0XiBJ6yeiNo5QAwerjf9NFP1YBxuobRUzzhkzRikWGwzramNG9na0NPi4yUQjPNZitX1JzlIA8XSq4LNsuPKO7hS1ALqqiAEHS3oUqKAsjuE-ygt0fN9iVj2LyL3-GFpql0UAFIHhew_J7yIpR14snSh3iLVTmSWNknGu2boDvyO5LWonnUjkNB3XSGD0ukI3UEEFXBJWyOD9rPqfTDOy0sTG_-9wjDEV0WbtJf4FyfO3hPu--bwtM_U0kxRbfLnOujFXyVUStiCKG45wg7iI4Du2lamPJoJCplwjHKWdPc6Zw"
        }
    }

> 可以看到与普通的 OAuth2 相比返回的信息中除了有 access\_token 之外还多出了 **id\_token** 属性。

## 三、什么是 ID Token ##

ID Token 是一个安全令牌，由授权服务器提供的包含用户信息的 JWT 格式的数据结构，得益于 JWT（JSON Web Token）的自包含性，紧凑性以及防篡改机制，使得 ID Token 可以安全的传递给第三方客户端程序并且容易被验证。

**id\_token包含以下内容**：

{
      "iss": "http://zlt2000.cn",
      "iat": 1621696582615,
      "exp": 1621696642615,
      "sub": "1",
      "name": "管理员",
      "login_name": "admin",
      "picture": "http://xxx/头像.png",
      "aud": "app",
      "nonce": "t49bpg"
    }

*  **iss**：令牌颁发者
 *  **iat**：令牌颁发时间戳
 *  **exp**：令牌过期时间戳
 *  **sub**：用户id
 *  **name**：用户姓名
 *  **login\_name**：用户登录名
 *  **picture**：用户头像
 *  **aud**：令牌接收者，OAuth应用ID
 *  **nonce**：随机字符串，用来防止重放攻击

### 3.1. 与 JWT 的 Access Token 区别 ###

是否可以直接使用 JWT 方式的 Access Token 并在 Payload 中加入用户信息来代替 ID Token 呢？

虽然在 Access Token 中可以加入用户的信息，并且是防篡改的，但是用户的每次请求都需要携带着 Access Token，这样不但增加了带宽，而且很容易泄露用户的信息。

### 3.2. 与 UserInfo 端点的区别 ###

通常 OIDC 协议都需要另外提供了一个 `Get /userinfo` 的 Endpoint，需要通过 Access Token 调用该 Endpoint 来获取详细的用户信息，这个方法和 ID Token 同样都可以获取用户信息，那两者有什么区别呢？

相比较于 `Get /userinfo` 的接口使用 ID Token 可以减少远程 API 调用的额外开销；使用那个主要是看 **需求**，当你只需要获取用户的基本信息直接使用 ID Token 就可以了，并不需要每次都通过 Access Token 去调用 `Get /userinfo` 获取详细的用户信息。

## 四、OIDC 单点登录流程 ##

下面我们看一个 OIDC 协议常用的场景，就是具有 **独立用户体系** 系统间的单点登录，意思指的是用户数据并不是统一共用的，而是每个系统都拥有自己独立的用户数据，所以流程最后增加了一步 **自动注册用户**。

![file][]

大部分的流程与 OAuth2 的授权码模式相同这里就不多讲述了，其中下面两个步骤需要说明一下：

*  解析 ID Token 的公钥可以是预先提供给第三方系统也可以是提供接口获取。
 *  **自动注册用户** 指的是第一次单点登录的时候，由于用户信息不存在需要在本系统中生成该用户数据；例如你从未在 CSDN 中注册也可以使用微信来登录该网站。

## 五、Spring Security 实现 ##

先说一下扩展最终的目标是需要达到以下效果：

*  授权码模式：`/oauth/authorize?client_id={client_id}&redirect_uri={redirect_uri}&response_type=code`
 *  OIDC 模式：`/oauth/authorize?client_id={client_id}&redirect_uri={redirect_uri}&response_type=code id_token`

> 目标是要通过在 response\_type 中的传值来控制是否使用 OIDC 模式，如果使用则在 response\_type 中增加 id\_token 的值。

由于需要在 OAuth2 返回的内容中添加 ID Token 属性，所以实现这个扩展的关键就是需要通过 Security 的 `TokenEnhancer` 来为 Token 添加自定义字段；

定义 TokenEnhancer 的 Bean 来扩展 Token：

![file][file 1]

> 通过授权的 response\_type 参数来判断是否需要生成 id\_token。

生成 ID Token 的 JWT：

![file][file 2]

**PS**：上面只列出了部分关键代码，完整代码请通过下面的 demo 地址去下载。

## 六、完整的 demo 下载地址 ##

[microservices-platform: 基于SpringBoot2.x、SpringCloud和SpringCloudAlibaba并采用前后端分离的企业级微服务多租户系统架构。并引入组件化的思想实现高内聚低耦合并且高度可配置化，适合学习和企业中使用。真正实现了基于RBAC、jwt和oauth2的无状态统一权限认证的解决方案，面向互联网设计同时适合B端和C端用户，支持CI/CD多环境部署，并提供应用管理方便第三方系统接入；同时还集合各种微服务治理功能和监控功能。模块包括:企业级的认证系统、开发平台、应用监控、慢sql监控、统一日志、单点登录、Redis分布式高速缓存、配置中心、分布式任务调度、接口文档、代码生成等等。 - Gitee.com][microservices-platform_ _SpringBoot2.x_SpringCloud_SpringCloudAlibaba_RBAC_jwt_oauth2_B_C_CI_CD_sql_Redis_ - Gitee.com]

[java]: /images/20220828/c3df4e02bf6a4910bd8750bfc53d2ab3.png
[icon-default.png_t_L892]: https://csdnimg.cn/release/blog_editor_html/release1.9.1/ckeditor/plugins/CsdnLink/icons/icon-default.png?t=L892
[Spring Security_Oauth2_SSO]: https://mp.weixin.qq.com/s/5iiISiDm4pDQmRjf4Q4x0A
[file]: /images/20220828/0a6a9287c95443b8a041610d9b6d8a0e.png
[file 1]: /images/20220828/2db944e6de394ceeb24912db9822cc13.png
[file 2]: /images/20220828/b1328530553b434b9cd4302135d263a0.png
[microservices-platform_ _SpringBoot2.x_SpringCloud_SpringCloudAlibaba_RBAC_jwt_oauth2_B_C_CI_CD_sql_Redis_ - Gitee.com]: https://gitee.com/zlt2000/microservices-platform/tree/master/zlt-demo/sso-demo/oidc-sso