【权限管理】OpenID Connect（OIDC）

原创已于 2025-08-07 09:37:20 修改 · 1.2k 阅读

12 ·

CC 4.0 BY-SA版权

文章标签：

#权限 #认证 #OAuth #openid

于 2025-01-08 16:15:06 首次发布

权限管理专栏收录该内容

16 篇文章

订阅专栏

OpenID Connect（OIDC） 是基于 OAuth 2.0 协议的身份认证协议，它允许客户端应用程序验证用户的身份，并获取与用户相关的基本信息（如名称、邮箱等）。与 OAuth 2.0 主要关注授权不同，OpenID Connect 专注于提供用户身份验证功能。它是目前互联网上常见的身份认证协议，广泛用于第三方登录服务（如微信、支付宝、抖音、Google、Facebook 等）以及企业级应用。

OpenID Connect 简介

OpenID Connect 是建立在 OAuth 2.0 协议之上的，它扩展了 OAuth 2.0 的功能，提供了用户身份认证的功能。它提供了一种标准化的方式，让用户可以在不同的应用程序中进行统一的身份验证，而无需为每个应用设置单独的登录信息。

OpenID Connect 通过 JWT（JSON Web Token）作为身份验证的载体，提供了认证信息和授权信息的整合，使得用户可以通过一个身份提供商（Identity Provider, IdP）在多个应用间共享认证状态。

OpenID Connect 工作流程

OpenID Connect 的认证过程是基于 OAuth 2.0 的授权流程的，以下是典型的认证过程（以授权码模式为例）：

用户请求登录应用：用户访问需要身份验证的应用（客户端）。
客户端重定向到 OpenID Connect 提供商：应用（客户端）将用户重定向到 OpenID Connect 提供商的授权服务器，要求用户登录并授权。
用户输入凭证并授权：用户输入凭证（如用户名和密码），并授权客户端访问他们的身份信息。
授权码返回给客户端：授权服务器将用户的授权码返回给客户端。
客户端交换授权码获取 ID Token 和 Access Token：客户端将授权码发送给授权服务器，授权服务器返回 ID Token（身份令牌）和 Access Token（访问令牌）。
客户端验证 ID Token：客户端验证 ID Token，确认用户身份并授权访问其他资源。

OpenID Connect 的关键组件

ID Token：ID Token 是一个 JWT（JSON Web Token），包含了用户的身份信息。它包含了用户的基本信息（如用户 ID、电子邮件等），并由身份提供商（IdP）签名确保其真实性。
Access Token：Access Token 用于授权客户端访问用户的受保护资源。它通常是 OAuth 2.0 的令牌，可以与资源服务器一起使用。
Refresh Token：Refresh Token 用于获取新的 Access Token。它通常会在 Access Token 过期后由客户端请求新的 Access Token。
Authorization Code：授权码是 OAuth 2.0 中的一个中间产物，它是客户端从授权服务器获取授权后，用来交换 ID Token 和 Access Token 的凭证。

OpenID Connect 的身份验证流程

OpenID Connect 的身份验证流程可以概括为以下几个步骤：

用户访问客户端应用：用户在浏览器中访问需要身份验证的客户端应用。
客户端请求身份验证：客户端将用户重定向到 OpenID Connect 提供商的授权服务器，附带参数如客户端 ID、重定向 URI、请求的作用域（openid 是必须的）等。
用户登录授权：用户输入凭证并授权客户端访问其身份信息。
授权码交换令牌：授权服务器将授权码发送到客户端的回调 URL，客户端使用授权码请求 ID Token 和 Access Token。
验证 ID Token：客户端验证 ID Token，确保其有效性，然后可以获得用户信息并完成身份验证。

OpenID Connect 的常见协议与实现

OpenID Connect 是基于 OAuth 2.0 协议构建的，使用 OAuth 2.0 的授权流程来实现身份认证。OpenID Connect 主要通过以下几种方法来提供用户身份验证：

1. 授权码模式（Authorization Code Flow）

这是最常用的方式，适用于需要后台服务器和浏览器进行交互的客户端（如 Web 应用）。此流程包括通过授权码交换 ID Token 和 Access Token 的步骤。

2. 隐式模式（Implicit Flow）

隐式模式适用于只通过浏览器进行交互的客户端（如单页应用）。这种方式会直接返回 ID Token 和 Access Token，而不需要通过授权码交换。

3. 密码模式（Resource Owner Password Credentials Flow）

密码模式适用于信任度较高的应用（如原生客户端）。用户直接将用户名和密码提供给客户端，客户端使用这些信息请求 ID Token 和 Access Token。

4. 客户端凭证模式（Client Credentials Flow）

客户端凭证模式用于机器对机器的身份验证，通常不涉及用户身份。它适用于服务端之间的通信。

OpenID Connect 的优势

简化的身份验证：用户只需在一个身份提供商处登录一次，即可在多个应用间共享身份认证状态，免去重复登录的麻烦。
基于标准的协议：OpenID Connect 是基于 OAuth 2.0 协议构建的，广泛支持且易于与现有的系统和平台集成。
安全性：OpenID Connect 使用 JWT（JSON Web Token）进行身份验证，并通过数字签名确保 ID Token 的安全性。
支持多种客户端：OpenID Connect 支持 Web 应用、移动应用、桌面应用等多种客户端，适应不同的应用场景。

如何实现 OpenID Connect

以下是一个使用 Spring Security 和 OpenID Connect 实现身份验证的示例。

添加依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

配置 OpenID Connect 客户端：

在 application.yml 中配置 OpenID Connect 提供商信息。

spring:
  security:
    oauth2:
      client:
        registration:
          google:
            client-id: your-client-id
            client-secret: your-client-secret
            scope: openid, profile, email
            authorization-grant-type: authorization_code
            redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
        provider:
          google:
            authorization-uri: https://accounts.google.com/o/oauth2/v2/auth
            token-uri: https://oauth2.googleapis.com/token
            user-info-uri: https://openidconnect.googleapis.com/v1/userinfo

配置 Spring Security：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/login", "/oauth2/**").permitAll()
                .anyRequest().authenticated()
            .and()
            .oauth2Login()
                .defaultSuccessUrl("/home", true)
                .failureUrl("/login?error=true");
        return http.build();
    }
}

运行应用并测试：

启动应用并访问 /login，系统会自动跳转到 OpenID Connect 提供商（如 Google）进行登录，成功登录后会重定向到应用的首页。

总结

OpenID Connect 是一种基于 OAuth 2.0 的认证协议，它扩展了 OAuth 2.0 提供的授权功能，专注于用户身份验证。通过 OpenID Connect，用户只需登录一次，即可跨多个应用共享认证状态。它已经成为互联网中最常用的身份验证协议，广泛应用于企业级应用、社交登录以及移动应用等场景。