尝试换一种传播的形式，借助平台的力量来传递更多的价值。
https://www.douyin.com/user/self?modal_id=7217736234003615014&showTab=post
【视频传递】应用安全之单点登录SSO集成
Category Archives: SSO
grant_type=authorization_code 中 redirect_uri的代码实现参考
OAuth2中grant_type=authorization_code时, 需要填写redirect_uri, 而该uri将如何处理与实现呢, 在此提供具体的讲解与实现参考
redirect_uri在注册ClientDetails时需要提供(当grant_type包含authorization_code时), 且在发起OAUTH2流程时需要在参数中传递redirec_uri, 这两处的值必须一致.
在业务中, redirect_uri代码实现主要用于接收返回的code值, 校验state是否合法, 以及通过code换取accessToken操作.
在 spring-oauth-client 项目的 AuthorizationCodeController.java 类中, authorization_code_callback 方法实现了以上的逻辑, 在具体实现是可参考该方法的实现, 代码如下:
@RequestMapping(value = "authorization_code_callback")
public String authorizationCodeCallback(AuthCallbackDto callbackDto, HttpServletRequest request, Model model) throws Exception {
if (callbackDto.error()) {
//Server response error
model.addAttribute("message", callbackDto.getError_description());
model.addAttribute("error", callbackDto.getError());
return "redirect:oauth_error";
} else if (correctState(callbackDto, request)) {
//Go to retrieve access_token form
AuthAccessTokenDto accessTokenDto = oauthService.createAuthAccessTokenDto(callbackDto);
model.addAttribute("accessTokenDto", accessTokenDto);
model.addAttribute("host", host);
return "code_access_token";
} else {
//illegal state
model.addAttribute("message", "Illegal \"state\": " + callbackDto.getState());
model.addAttribute("error", "Invalid state");
return "redirect:oauth_error";
}
}
这里实现首先检查服务端是否返回error信息,
然后判断state是否正确, 若正确则显示一个页面, 并在code_access_token方法中(同一个类中)使用 httpclient 发起请求(grant_type=authorization_code)通过 code换取access_token.
其它情况则显示error信息.
spring-oauth-server中添加 resource 的配置
resource,资源, resource-id资源ID, 在spring-oauth-server中添加 client details时有两个resource可以选择(mobile-resource, unity-resource); 这些resource-id从哪来的呢? 如果我需要添加自己的resource将如何办呢, 请继续向下看.
resource用于将系统提供的各类资源进行分组管理,每一个resource对应一个resource-id, 而一个client details至少要有一个resource-id(对应OauthClientDetails.java中的resourceIds字段).
在spring-oauth-server的security.xml配置文件的70行左右, 你会看到两行配置,如下:
<!--unity resource server filter--> <oauth2:resource-server id="unityResourceServer" resource-id="unity-resource" token-services-ref="tokenServices"/> <!--mobile resource server filter--> <oauth2:resource-server id="mobileResourceServer" resource-id="mobile-resource" token-services-ref="tokenServices"/>
这儿就是配置resource的地方, 看见里面的两个resource-id值.
在这配置往上, 能看见两个<http>的配置, 一个的pattern为/m/**, 另一个为/unity/**, 这就是资源与Spring Security整合后的配置, 注意每个<http>配置里的 ROLE_UNITY与ROLE_MOBILE, 这对应Spring Security的权限; 截图如下:
有了以上基础, 及下看我们要添加一个自己的resource, 假设resource-id = myResource, url pattern为/my/api/**, 权限为ROLE_MY_RESOURCE, scope为 read; 其配置如下:
1.添加<oauth2:resource-server> , resource-id=myResource, 如下:
<oauth2:resource-server id="myResourceServer" resource-id="myResource" token-services-ref="tokenServices"/>
注意, id值需要唯一
2.添加<http>配置, 如下:
<http pattern="/my/api/**" create-session="never" entry-point-ref="oauth2AuthenticationEntryPoint"
access-decision-manager-ref="oauth2AccessDecisionManager" use-expressions="false">
<anonymous enabled="false"/>
<intercept-url pattern="/my/api/**" access="ROLE_MY_RESOURCE,SCOPE_READ"/>
<custom-filter ref="myResourceServer" before="PRE_AUTH_FILTER"/>
<access-denied-handler ref="oauth2AccessDeniedHandler"/>
<csrf disabled="true"/>
</http>
说明: 一个<resource-server>可以配置多个<http>, 使用不同的url pattern
OK, 配置完成, 新增resource: myResource; 这时候, 所有以/my/api/** 开头的URL请求都将受到 OAUTH2的保护, 及下来在业务中创建client details, 记得把resourceIds设置为myResource,且要有ROLE_MY_RESOURCE的权限.
OIDC–基于OAuth2的下一代身份认证授权协议
OIDC(OpenID Connect), 下一代的身份认证授权协议; 当前发布版本1.0;
OIDC是基于OAuth2+OpenID整合的新的认证授权协议; OAuth2是一个授权(authorization)的开放协议, 在全世界得到广泛使用, 但在实际使用中,OAuth2只解决了授权问题, 没有实现认证部分,往往需要添加额外的API来实现认证; 而OpenID呢,是一个认证(authentication )的协议, 二者在实际使用过程中都有其局限性;
综合二者,即是OIDC; 通过OIDC,既能有OAUTH2的功能,也有OpenID的功能; 恰到好处…
OIDC将是替换(或升级)OAuth2, OpenID的不二选择..
OIDC在OAuth2的access_token的基础上增加了身份认证信息; 通过公钥私钥配合校验获取身份等其他信息—– 即idToken;
一个使用JWT生成的idToken(base64):
eyJhbGciOiJSUzI1NiIsImtpZCI6IjM3MTc2NjA0OTExODEyNzkwNzgifQ.eyJpc3MiOiIxMTExIiwiYXVkIjoiMTExMSIsImF0X2hhc2giOiI4ZjgxYThjOS1jNWJiLTQwOWMtYjI0Ni1lMzEyZmUwYzM4NWMiLCJyZWdpc3RyYXRpb24iOiIxMjM0NTY3OCIsImV4cCI6MTQ2MzYyMjA4NiwianRpIjoiRnl5aGZOYnQtU0NLR2tpTWRGMVg2dyIsImlhdCI6MTQ2MzU3ODg4NiwibmJmIjoxNDYzNTc4ODI2LCJzdWIiOiJsc3otb2lkYyJ9.hDCcs8PISdwUPp6Eyd-9JCeeTJ2ZtscBeuPITIt43gMYbddiUBLC90uT9bxKe6e3awHels3asEMreFtlnlY09PwdCxXvhjYcEiXO_dnzqu-zQXESHzPEE6d1WsZUcbj6yxoxMh0laba24uu3CbqSRQbOrsYmh2_XA5Q5eP66iOajRUDhNXhmsWEL85jtL9_h0SyfRNPZ9C0mRu2x9YZTHT129O53ggqtjwQxrXLAbCd1dd35DyIztagqQWDpo3gFG7YseNEiQ6Mf2D6nIBU9llAqH4sTThq_ahME06qKENat_sxnmIJN2UHw7u0E08S-59oxtOY9winT78Qj5IfWJw
在OIDC协议的实现中, 其底层是基于OAuth2. 一些常用的库如: JWT(https://jwt.io/), JWS; OAuth2的实现如: Spring Security OAuth, OLTU.
更多信息可参考: http://openid.net/connect/
OIDC 1.0协议: http://openid.net/specs/openid-connect-core-1_0.html
拥抱OIDC…
钉铛 — 企业应用的钉钉连接器 SSO,免登录
钉铛是一个帮助企业方便快捷地将自身业务系统接入钉钉, 实现SSO(单点登录)的应用; 用于简化企业应用接入钉钉的技术难度与降低成本, 实现应用的免登与钉钉账号关联.
钉铛的设计图如下:
钉铛的具体流程图参考如下:
针对企业不同的应用及场景, 钉铛提供以下几种方式连接应用与钉钉:
- 用户密码代填(服务端)
采用传统的账号名&密码进行服务端代填实现身份验证，服务器不需要进行改造即可实现免登服务 - JWT SSO(无密码)
采用token进行身份信息传递，钉铛与应用服务之间不会传递密码，但是服务器需要进行少量的改动；提供有各种各样的库和样本代码：php, java, perl, c, c#, .net, ruby etc. - 移动APP
用于实现在钉钉中打开移动APP, 以及实现钉钉账号与移动APP之间的免登, 我们提供Android, IOS的APP SDK与DEMO程序帮助企业开发只需要很少的改动即可集成到钉钉中.
欢迎咨询
联系邮箱: zhao@idsmanager.com
http://idsmanager.com