什么是SSO（Single Sign On）单点登录

SSO单点登录：是指用户的一次性鉴权登录。即用户在身份验证服务器服务器登录一次后，在身份验证服务器的注册服务中即可自动完成登录验证的功能。简单来说，就是在有多个系统时，只需要登录一次，其他服务即可自动感知获取到用户的登录状态。
单点登录的主要核心是身份验证服务器。在身份验证服务器中注册了用户的具体信息和可信应用。在其他服务获取登录状态时，是通过相关协议直接访问身份验证服务器获取用户的登录状态和身份完成登录的授权操作的。

OIDC（Open ID Connect）

OIDC = (Identity, Authentication) + OAuth2.0
OIDC是一个基于OAuth2.0协议的身份认证标准协议。OIDC使用OAuth2的授权服务器来为可信任客户端提供用户的身份认证，并把对应的身份认证信息传递给客户端，且可以适用于各种类型的客户端，且完全兼容OAuth2。
OIDC基于OAuth2.0，使用access token来授权可信任应用访问保护信息。同时，OIDC提供id token来解决OAuth2无法进行用户身份认证的问题。OIDC将用户身份认证信息以id token的形式传递给可信任应用。可信任应用在验证id token后进一步通过OAtuh2获取access token读取更多信息。

SSO服务授权流程（OIDC）

应用系统注册：应用在身份验证服务器中进行注册登记。设置应用的回调函数，生成应用ID、secret等信息。

授权模式

OIDC根据用户的身份类型和设置的授权模式方法的不同，具有不同的授权流程。根据自己的授权模式执行具体的流程。

授权码模式

授权码模式构建构建能够安全存储机密的服务器端（或 Web）应用程序，如带后端的相关程序。

授权码模式授权流程

• 携带有应用服务器生成的state(防止CSRF跨域攻击)和在认证服务器注册的信息重定向到认证服务器的/authorize授权接口
• 认证服务器重定向登录界面给用户（若用户已登录，则处理器会在短时间内完成重定向和认证服务，前端登录界面未加载显示前已完成相关步骤）
• 用户进行身份认证
• 完成认证后，认证服务器返回一个可过时的授权码code到应用程序（code数据用来向认证服务器交换token信息，code数据具有时效性，所以请在其失效之前及时获取具体的token信息）
• 应用服务器携带认证的code信息和应用信息请求认证服务器的/token接口获取用户的access_token信息
• 认证服务器将access_token返回给应用服务器
• 用户根据access_token获取需要认证的相关用户身份信息

请求授权码过程

https://${AuthorizeUri}?client_id=${ClientId}&response_type=code&scope=openid&redirect_uri=${RedirectUri}&state=${State}

• 请求授权码：
  • AuthorizeUri: 认证服务器的授权接口地址
  • ClientId: 应用服务器在认证服务器中注册的客户端ID
  • RedirectUri: 应用服务器在认证服务器中注册的应用服务器回调地址
  • State: 应用服务器生成state用来防止CSRF跨域攻击

curl -v -X POST \
    -H "Content-type:application/x-www-form-urlencoded" \
    "https://${TokenUri}" \
    -d "client_id=${ClientId}&client_secret=${ClientSecret}&grant_type=authorization_code&redirect_uri=${RedirectUri}&code=${Code}"

• 通过code获取access_token信息：
  • application/x-www-form-urlencoded: 在调用接口获取access_token时，其Content-type应设置为application/x-www-form-urlencoded类型
  • TokenUri: 认证服务器的获取令牌token接口地址
  • ClientSecret: 应用服务器在认证服务器中注册的应用服务器Secret信息
  • Code: 上一步获取到的授权码Code信息，或调用失败，可检测授权码是否过期

授权模式对比总结

本文只对前后端授权常见的授权码模式做详细介绍，其他授权模式可自行了解，这里只做简单介绍。