23、API 安全访问：OAuth 2.0 与 OpenID Connect 实战

API 安全访问：OAuth 2.0 与 OpenID Connect 实战

1. OAuth 2.0 与 OpenID Connect 简介

OAuth 2.0 规范于 2012 年发布，多年来积累了很多实践经验。2019 年开始着手建立 OAuth 2.1，整合了 OAuth 2.0 的最佳实践。OAuth 2.1 有几个重要改进：
- PKCE 集成 ：公共客户端使用授权码授权流程时需使用 PKCE 来增强安全性；对于授权服务器可验证凭证的机密客户端，使用 PKCE 只是推荐而非必需。
- 隐式授权流程弃用 ：因其安全性较低，被从规范中移除。
- 资源所有者密码凭证授权流程弃用 ：同样由于安全原因被移除。

OpenID Connect（OIDC）是 OAuth 2.0 的扩展，可让客户端应用验证用户身份。完成授权流程后，客户端应用会从授权服务器获得额外的 ID 令牌，该令牌以 JSON Web Token（JWT）编码，包含用户的 ID、电子邮件地址等声明，并使用 JSON 网络签名进行数字签名。客户端应用可使用授权服务器的公钥验证数字签名，从而信任 ID 令牌中的信息。此外，OIDC 还定义了发现端点和用户信息端点。

在对受 OAuth 2.0 保护的 API 进行自动化测试时，客户端凭证授权流程很方便，因为它无需使用 Web 浏览器进行手动交互。

2. 系统安全架构

为确保系统安全，需执行以下步骤：
1. 使用 HTTPS 加密外部通信