初识OpenID--OP/RP之争

最新推荐文章于 2023-04-11 16:42:58 发布
最新推荐文章于 2023-04-11 16:42:58 发布
阅读量3.4k 收藏 1
点赞数
CC 4.0 BY-SA版权
分类专栏： WEB JAVA 文章标签： cookies 算法 文档 互联网 oop 框架
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/sfdev/article/details/3130532
本文介绍了OpenID认证的基本概念及工作流程，解释了OpenID中的关键角色如OP、RP和UA之间的交互过程。同时讨论了安全性问题以及作者对于成为RP而非OP的观点。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

前段时间，公司某些同学对OpenID进行了预研，偶也去参加了预研结果报告会，算是初次比较完整的接触OpenID；

首先来看看OpenID规范文档中的介绍：
OpenID 认证提供了一种方式，可以让用户证明自己对某个 Identifier 拥有控制权。 它不需要 Relying Party 去访问用户的凭据比如密码或者其他的敏感信息比如电子邮件地址等。
OpenID 是分散的。不需要一个中央官方机构批准或注册 Relying Parties 或 OpenID Providers。 最终用户可以自由地选择使用哪个 OpenID Provider，并能在他们更换 OpenID Providers 时维护自己的 Identifier。
OpenID 认证仅仅使用标准的 HTTP(S) 请求和响应， 因此它不需要 User-Agent 具有特殊能力或者其他客户端软件。 OpenID 不和 cookies 的使用或者 Relying Party 的其他任何具体机制或 OpenID Provider 的会话管理挂钩。 虽然使用该协议没有必要扩展 User-Agents，但可以简化用户操作。
用户信息或者其他信息的交换不包括在该规范中，在此协议上附加协议形成一个框架可解决此问题。 OpenID 认证的目的是提供一个基础服务，使它能在自由和分散的方式下携带用户数字标识。

介绍中涉及到了很多名词，比如Relying Parties，这些都代表什么意思呢，下面就介绍下OpenID中最重要的三种角色：
OP【OpenID Provider】: OpenID提供者，提供对用户鉴权功能
RP【Relying Party】: 依赖方，直接服务提供者，需要信任OP鉴权的结果
UA【User Agent】：终端用户，想使用RP服务的用户
三者间的关系就是：让UA在OP登陆，并使用RP提供的服务；
UA和OP/RP交互的时序图如下：
O

OP和RP在初次交互的过程中，需要建立一种关联关系Association，这就涉及到安全性的问题，OpenID规范中指出，在Association会话建立过程中，采用了 Diffie-Hellman密钥一致协议 来保证会话的安全性，主要有"no-encryption"、"DH-SHA1"和"DH-SHA256"三种类型，注意第一种类型只能在https传输协议下才能选择；
而在双方互相信任之后，则采用更为简单和快速的HMAC-SHA算法来进行签名，有"HMAC-SHA1"和"HMAC-SHA256"两种选择；需要注意的是在选择两类算法时两者的长度需要保持一致；

在讨论过程中，大家都提到一个问题，到底我们想做RP还是OP？
当时大多数的同学都认为我们当然要做OP，因为在未来的互联网世界里，你是OP就说明你掌握了大量的用户资源，这些用户想去各个RP享受服务都必须得到OP处登陆，这样也就直接控制了RP的用户来源！
但是我个人倒觉得，我们目前还是做RP好，也更加现实；原因有二，其一：我们目前没有自己独立的用户群体，我们的所有用户都是来自淘宝、中文站、阿里妈妈、口碑、雅虎等，现在就因为我们搞了个自己的登陆页面，已经被他们JJYY啦；其二：做RP能从各个OP处吸纳用户，在发展期这是至关重要的，要通过多种渠道提升用户数；而当用户真的爱上RP的服务时，此时OP已经蜕变成只剩下一个登陆的壳了，纯粹是在为RP服务了，呵呵！

PS：OpenID认证2.0官方文档地址：http://www.openid.net.cn/specs/openid-authentication-2_0-zh_CN.html
OpenID4JAVA：http://code.google.com/p/openid4java/

OpenID简介
打造高质量Blog
03-22 1万+
       也许大家都有这样的经历与烦恼：当你为了使用某个网站的服务时（若你还没在该网站上注册过），你不得不先注册一个帐号。当你在一堆的网站上注册帐号后，你必需面临管理这些帐号的烦恼。也许你会这样考虑，不同网站注册的帐号信息都用同一个用户名与密码，这样也许会减轻你的烦恼，但是却给你带来的安全隐患，一旦你的帐号在某个网站泄漏后。OpenID正式基于解决这类问题而提出的一个国际标准，用于打通各大
权限认证之OpenID-OP/RP
weixin_30340353的博客
08-17 329
权限认证之OpenID-OP/RP OpenID规范文档中的介绍：　　OpenID 认证提供了一种方式，可以让用户证明自己对某个 Identifier 拥有控制权。 它不需要 Relying Party 去访问用户的凭据比如密码或者其他的敏感信息比如电子邮件地址等。　　OpenID 是分散的。不需要一个中央官方机构批准或注册 Relying ...
存储模式之争 RP vs OPP
TREND_CDC_SPN的专栏
06-09 1601
在分布式存储数据库的世界中，无论是基于Key/Value的数据库还是Column Base的数据库，都有一个重要的因子——Key，或者叫RowKey。我们总是根据Key来快速的获取存储的数据。毫不夸张的说，Key是读数据的基础。对于Key的存储，有两种截然不同的分布方式，我们称之为：随机分布（RP）和顺序分布（OPP）RP和OPP之间并没有绝对的优劣，但遗憾的是任何数据库只能选择其中的一种。在这篇文章中我们希望能够讨论一下两种方式的优劣，经典数据库的选择和我们的选择。我们先来讨论OPP，因为我们可能更喜欢这
OpenID及其原理介绍
weixin_33725807的博客
05-17 3064
昨天和朋友谈到统一身份验证时，才知道这个OpenID的东东，汗一个先... 这是一套不别于微软的Passport（或者其他厂商的一些所谓通行证技术）的开源的解决方案，支持自己架设验证服务器。我想对于企业内部大部分应用系统实现统一登录是会有些帮助的。它的主要原理是 1. 你首先得拥有一个合法的OpenID帐号，也就是说需要在一个验证服务器申请了一个帐号。 2. 你有了这个帐号之后，就可以在任何一个其...
OpenID
学习之路
04-16 2096
OpenID 的创建基于这样一个概念：我们可以通过 URI （又叫 URL 或网站地址）来认证一个网站的唯一身份，同理，我们也可以通过这种方式来作为用户的身份认证。由于URI 是整个网络世界的核心，它为基于URI的用户身份认证提供了广泛的、坚实的基础。 OpenID 系统的第一部分是身份验证，即如何通过 URI 来认证用户身份。目前的网站都是依靠用户名和密码来登录认证，这就意味着大家在每个网
OpenID Provider URL Formatting
MichaelHUO的专栏
03-15 745
We are making a website right now and we would like users to be able to login using their OpenID credentials. After an hour or so of googling I gave up trying to find a list of the OpenID URL formatti
openid-connect-provider-debugger:使用简单的依赖方（RP）测试OpenID Connect提供商（OP）的docker映像
05-01
openid-connect-provider-debugger 使用简单的依赖方（RP）测试和诊断OpenID Connect（OIDC）提供程序（OP）的docker映像。 跑步 要启动调试器，您需要从OP中获取以下信息： 客户编号。 客户机密。 发现URI...
node-openid-client:Node.js的OpenID Certified:trade_mark:依赖方（OpenID ConnectOAuth 2.0客户端）实施
04-28
openid-client是Node.js运行时的服务器端依赖方（RP，Client）实现，支持 。 实施的规格和功能 OpenID Connect / OAuth2.0规范中的以下客户端/ RP功能是由openid-client实现的。 授权回叫 授权码流程 隐式流 混合流...
express-openid-connect:用于保护OpenID Connect Web应用程序的Express.js中间件
04-28
npm install express-openid-connect 入门 请遵循我们的“安全本地开发”指南，以确保使用此库的应用程序正在安全通道（HTTPS URL）上运行。 使用此库而不使用HTTPS的应用程序可能会遇到“无效状态”错误。 该库需
OpenID-Connect-Java-Spring-Server：Spring平台上Java中的OpenID Connect参考实现
02-23
该项目包含在Spring平台上使用Java的经过认证的OpenID Connect参考实现，其中包括正常运行的， ，和通用。 该服务器可用作OpenID Connect身份提供程序以及通用OAuth 2.0授权服务器。 可以找到有关该项目的更多信息...
openid-client-cli:用于管理动态OpenID Connect客户端注册的CLI
05-01
openid-client-cli ... 目录 先决条件 ...openid-client create https://op.example.com/client/register \ redirect_uris=[https://rp.example.com/callback,https://rp.example.com/forum/callback] \ re
OpenId
Knowlege的专栏
01-08 278
OpenID 用户希望访问其在example.com的账户 example.com (在OpenID的黑话里面被称为“Relying Party”) 提示用户输入他/她/它的OpenID 用户给出了他的OpenID，比如说”http://user.myopenid.com” example.com 跳转到了用户的OpenID提供商“mypopenid.com” 用户在”myopenid....
OpenID认证失败，无法与OpenID Provider建立信任连接
缥缈之心
10-13 1433
今天把我的OpenID Client部署到新的Linux服务器上，发现无论如何都无法与AOL网站建立信任链接，经过代码跟踪发现如下提示“If the fetcher (i.e., PHP) doesnt support SSL, we cant do discovery on an HTTPS URL.”，回头检查Apache的PHPinfo，发现确实没有支持SSL，安装完毕后，一切恢复正常。
OAuth2.0协议(四)、基于OAuth2.0的OIDC认证协议
it_lihongmin的博客
01-12 2259
OIDC（OpenID Connect）协议建立在OAuth2.0协议的基础上，这里需要分清OAuth2.0是一个授权协议，而OIDC是一个认证协议，特别容易搞混。只是OAuth授权框架中包含了部分需要调用认证的信息，而IODC协议利用了OAuth2.0的认证流程（或者利用了去管道、通道）并增加了输出了id_token和OpenId（认证结果和标识）。可以理解： IODC【OpenID Connect】 = OAuth2.0【授权协议】+ 身份认证； IODC定义了三个角色： EU（End...
Openprotocol协议解析1
sgmcumt的博客
10-24 1万+
简介 开放协议是远程通信接口。它是独立于系统平台的，可以在Linux、PLC、打印机和所有Windows上实现。 开放协议同时支持串行和以太网连接。 本文是以阿特拉斯扭矩枪为例，说明开放协议的使用。 本文用到的术语表。 术语 定义 控制器（Controller） 支持开发协议的服务器 接收器（Integrator） 接收器可以为电脑、PLC或打印机。接收器安装使用开放协议的应用...
taobao.user.openid.get( 查询用户openId )
QQ569893796的博客
04-11 375
查询用户openId。
OAuth2、OpenID Connect简介
diezuo9326的博客
09-29 1134
当我们在登录一些网站的时候，需要第三方的登录。比如，现在我们要登录简书https://www.jianshu.com/sign_in，我们使用微博登录，点击下方的一个微博的小按钮，就会出现这么一个地址https://api.weibo.com/oauth2/authorize?client_id=1881139527&redirect_uri=http%3A%2F%2Fwww.j...
第六篇horizon— Web管理界面
热门推荐
weixin_43466725的博客
02-20 2万+
第六篇horizon— Web管理界面 一、horizon 介绍： 理解 horizon Horizon 为 Openstack 提供一个 WEB 前端的管理界面 (UI 服务 )通过 Horizone 所提供的 DashBoard 服务 , 管理员可以使用通过 WEB UI 对 Openstack 整体云环境进行管理 , 并可直观看到各种操作结果与运行状态。 DashBoard 与其他组件的关系...
taobao.user.openuid.getbyorder( 根据订单获取买家openuid )
QQ569893796的博客
02-28 704
根据订单获取买家openuid，最大查询30个。非法参数
security: oauth2: client: provider: keycloak: authorization-uri: http://localhost:8080/auth/realms/demo/protocol/openid-connect/auth jwk-set-uri: http://localhost:8080/auth/realms/demo/protocol/openid-connect/certs token-uri: http://localhost:8080/auth/realms/demo/protocol/openid-connect/token user-info-uri: http://localhost:8080/auth/realms/demo/protocol/openid-connect/userinfo user-name-attribute: sub registration: keycloak: authorization-grant-type: authorization_code client-id: web client-secret: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx redirect-uri: '{baseUrl}/login/oauth2/code/{registrationId}' scope: openid,profile,email 全部加上注释
最新发布
03-21
<think>好的，我现在需要帮助用户为Spring Security OAuth2与Keycloak的配置代码添加详细注释。首先，我得回顾一下用户提供的引用内容，看看他们之前提到的配置和依赖情况。引用[3]提到配置了oauth客户端、clientDetailsService、token存储方式、token增强器和加密方式，这些可能是关键点。 用户的问题是关于如何添加详细注释，所以我要确保每个配置项都解释清楚。首先，Keycloak的配置通常涉及OAuth2客户端设置、资源服务器配置以及JWT的处理。可能需要使用@EnableWebSecurity和@EnableGlobalMethodSecurity来启用安全和方法级权限控制。 接下来，考虑配置类中的各个Bean。例如，SecurityFilterChain是定义安全规则的核心，需要注释说明哪些路径需要认证，哪些公开。然后，JwtAuthenticationConverter可能用于将JWT中的声明转换为Spring Security的权限，这里需要解释如何从JWT中提取角色。 另外，用户可能关心如何与Keycloak服务器交互，比如配置issuer-uri，以及资源服务器的jwt配置。需要提到Keycloak的适配器或相关依赖，如spring-security-oauth2-jose处理JWT，spring-security-oauth2-resource-server用于资源服务器支持。 还要注意用户之前提到的关闭security配置的方法，引用[1]中提到了注释掉相关依赖，但在配置类中可能需要使用http.securityMatcher("/**").authorizeRequests().anyRequest().permitAll().and().csrf().disable()来临时关闭安全控制，不过实际中不推荐，所以需要正确引导。 最后，生成相关问题时要围绕配置注释、关键注解作用、与Keycloak集成常见问题、关闭安全配置的方法，以及JWT处理。确保问题覆盖用户可能遇到的难点，帮助他们深入理解配置细节。</think>### 为Spring Security OAuth2 Keycloak配置添加注释的步骤 #### 1. 配置类基础注解 ```java @Configuration @EnableWebSecurity // 启用Spring Security核心功能 @EnableGlobalMethodSecurity(prePostEnabled = true) // 启用方法级权限控制 public class KeycloakSecurityConfig { // ... } ``` #### 2. 配置安全过滤链（核心配置） ```java @Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS) // 设置无状态会话 .and() .csrf().disable() // 禁用CSRF保护（API场景常用） .authorizeHttpRequests(auth -> auth .requestMatchers("/api/public/**").permitAll() // 公开接口配置 .anyRequest().authenticated() // 其他请求需认证 ) .oauth2ResourceServer() // 启用OAuth2资源服务器支持 .jwt() // 使用JWT令牌格式 .jwtAuthenticationConverter(jwtAuthenticationConverter()); // 自定义JWT转换器 return http.build(); } ``` #### 3. JWT解析配置（Keycloak适配） ```java @Bean public JwtAuthenticationConverter jwtAuthenticationConverter() { // 创建自定义JWT转换器 JwtGrantedAuthoritiesConverter converter = new JwtGrantedAuthoritiesConverter(); converter.setAuthoritiesClaimName("realm_access.roles"); // Keycloak角色声明位置 converter.setAuthorityPrefix("ROLE_"); // 添加角色前缀 JwtAuthenticationConverter jwtConverter = new JwtAuthenticationConverter(); jwtConverter.setJwtGrantedAuthoritiesConverter(converter); return jwtConverter; } ``` #### 4. 资源服务器配置（Keycloak服务器信息） ```properties # application.yml spring: security: oauth2: resourceserver: jwt: issuer-uri: https://keycloak.example.com/auth/realms/your-realm # Keycloak颁发者URI jwk-set-uri: https://keycloak.example.com/auth/realms/your-realm/protocol/openid-connect/certs # JWK端点 ``` #### 5. 依赖配置参考（build.gradle） ```groovy dependencies { implementation 'org.springframework.boot:spring-boot-starter-oauth2-resource-server' // 资源服务器支持 implementation 'org.springframework.security:spring-security-oauth2-jose' // JOSE规范实现 implementation 'org.keycloak:keycloak-spring-boot-starter' // Keycloak适配器（可选） } ``` [^1]: 关键安全配置需要与OAuth2提供方信息严格匹配 [^2]: 角色映射需与Keycloak中配置的客户端/领域角色保持一致 [^3]: 无状态会话适合API服务，有状态会话需配置Session管理
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值