【揭秘OIDC协议 — Java安全认证框架的核心基石】 从初识到精通,带你领略OIDC协议的奥秘,告别SSO的迷茫与困惑

简介: 【揭秘OIDC协议 — Java安全认证框架的核心基石】 从初识到精通,带你领略OIDC协议的奥秘,告别SSO的迷茫与困惑

前提介绍

前面的两篇文章已经介绍了Saml协议和OAuth2.0协议,接下来我们介绍另外一个的认证协议:OpenID Connect(OIDC)。

OIDC协议

OpenID Connect(OIDC)协议于2014年发布,在OAuth 2.0协议的基础上建立了一个简单的身份层。通过该协议,客户端可以使用授权服务器或身份提供商(IdP)进行身份验证,以验证最终用户的身份并获取其相关信息。

OpenID Connect(OIDC)已成为互联网上单点登录(SSO)和身份管理的通用标准。OIDC的优势在于其简单的基于JSON的身份令牌(JWT),同时与OAuth2协议完全兼容,提供了灵活的身份管理机制。在本文中,我们将深入探讨OIDC的工作原理,旨在帮助读者更好地理解和应用该协议。

OIDC优势

  • 对比Saml协议:OpenID Connect采用了RESTful HTTP API,并使用JSON作为数据传输格式。相对于基于XML的SAML协议,OpenID Connect由于其更简洁的数据交换格式,被越来越多的应用所采用,并成为了事实上的标准。
  • 对比OAuth2.0:OpenID Connect在OAuth2协议基础上构建了身份认证层,实现了身份验证和授权的双重功能。相比于仅提供授权功能的OAuth2协议,OIDC通过添加身份认证能力提供了更全面的解决方案。

基本流程

我们深入探索一下OpenID Connect的核心流程,整体流程如下图所示:

OpenID Connect的核心流程

这个流程确保了客户端可以安全地获取到用户的身份信息,同时保护了用户的隐私和安全,我们总结为一下几个步骤:

  1. 客户端(RP)首先向身份提供者(OP)发起认证请求。
  2. 身份提供者(OP)会进行一系列的认证流程,确保最终用户的身份真实有效,并获得用户给予的相应授权。
  3. 一旦完成认证和授权,身份提供者(OP)将生成一个ID Token或access Token,并将其安全地返回给客户端(RP)。
  4. 客户端(RP)收到Token后,使用access Token向用户信息端点(UserInfo Endpoint)发起请求,以获取用户的详细信息。
  5. 用户信息端点(UserInfo Endpoint)在验证access Token的有效性后,将准确、完整的用户信息返回给客户端(RP)。

核心凭证(ID Token)

ID Token,如同用户的数字化身份证,采用JWT(JSON Web Token)格式精心设计。为了确保其安全性,整个Token由OP进行签名。 要获取ID Token,用户只需向OP发送认证请求。

ID Token的组成

ID Token是以JWT格式生成的,因此具有三部分结构:Header、Payload和Signature。

ID Token的格式

ID Token是一种自包含、可验证的令牌格式:

  • Header和Payload都是Base64编码的,可以被任何人读取。
  • Signature是用私钥对Header和Payload进行签名得到的,用于验证Token的真实性和完整性
ID Token计算公式

例如,签名过程使用了一种散列算法(如SHA-256),将Header和Payload进行散列,然后使用私钥进行加密得到Signature。

JWT的签名算法有多种,其中最常见的是HMAC和RSA。以下是HMAC的算法公式:

scss

复制代码

HMAC = base64Url(Header) + "." + base64Url(Payload) + "." + base64Url(Signature)
Header

Header包含加密算法等信息,用于生成签名,通常包含两个主要信息:令牌类型(typ)和所用的加密算法(alg)。

  • 令牌类型(typ):指示该令牌类型为JWT。
  • 加密算法(alg):指示用于对令牌进行签名的算法,例如HMAC、RSA或者其他加密算法。

示例:{ "alg": "HS256", "typ": "JWT" }

在JWT的Header中,常见的加密算法有HS256(HMAC with SHA-256)和RS256(RSA with SHA-256)等。

Payload

Payload部分通常包含用户信息和其他业务需要的数据,例如用户ID、用户角色、权限、客户端信息、过期时间等。具体来说,Payload的内容可以分为以下两大种:

第一种是Registered Claims:一组预定义的声明,这些字段遵循JWT标准,但并非强制要求携带,如下图所示: 第二种是Public Claims:可以自定义的声明,通常用于存放用户ID、用户类别等非敏感信息。

Payload结构体

json

复制代码

{
  "sub"       : "alex",
  "iss"       : "https://openid.xxxx.com",
  "aud"       : "client-12345",
  "nonce"     : "w-s0S6_WzA2Mj",
  "auth_time" : 1311280969,
  "acr"       : "c2id.loa.hisec",
  "iat"     : 1516239022,  
  "exp"     : 1535974630  
}

上面的是ID Token的标准Claims。

Signature

Signature是用私钥对Header和Payload进行签名得到的,用于验证Token的真实性和完整性

  • 私钥进行签名,相当于给这些信息加了一把锁,只有拥有相应公钥的接收方才能解开这把锁,验证信息的真实性和完整性。
  • 接收方接收到Token时,它会使用公钥来验证签名。

如果签名验证通过,说明Token未被篡改,且是由拥有相应私钥的发送方签发的,因此具有真实性和完整性。

Signature的计算公式

以HMAC算法为例,其计算公式如下:

scss

复制代码

Signature = HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

在这个公式中,HMACSHA256是使用SHA-256散列算法的HMAC签名方法,secret是用于签名的密钥。

ID Token的这三部分共同构成了ID Token的完整性,并确保其内容在传输过程中未被篡改。这种结构使得ID Token成为一种安全、可靠的身份验证机制,广泛应用于各种在线服务中。

请求获取ID Token

尽管OpenID Connect并未明确规定用户身份的具体验证方法,而是留给了Provider来决定,但通常,这一过程是由Web浏览器来执行的。

首先,浏览器会将用户重定向到认证服务器,在那里,用户会看到一个认证窗口,用户输入用户名和密码后,会通过OAuth 2.0协议发出请求以获取ID Token。

OAuth 2.0来获取ID Token

Authorization Code模式

  1. 客户端会将其发送至授权服务器。这个服务器承担着对最终用户进行身份验证的重要任务。验证过程可能包括检查用户提供的凭证,如用户名和密码,或使用多因素认证等更高级的验证方法。
  2. 一旦用户通过验证,授权服务器会生成一个授权码。这个授权码是用户已通过验证的凭证,并且将在后续的步骤中使用。
  3. 授权服务器随后将最终用户与授权码一起返回给客户端。这一步确保了客户端能够获得用户的身份信息,同时保持了用户的隐私和安全性。
  4. 客户端使用这个授权码向Token端点发起请求。这个端点是生成身份验证令牌的地方,通过使用授权码,客户端可以获得一个响应。
  5. 当客户端接收到响应后,会发现响应的Body中包含了ID Token和Access Token。这两个令牌是OpenID Connect协议的核心部分,ID Token包含了用户的身份信息,而Access Token则用于授权客户端对受保护资源的访问。

此外,其他OAuth2.0协议的流程与之类似,又想了解的可以查看我对应的文章:《【揭秘OAuth协议 — Java安全认证框架的核心基石】 从初识到精通,带你领略OAuth协议的奥秘,告别SSO的迷茫与困惑》

ID Token可以做什么

当我们获得请求返回的ID Token时,我们有哪些操作的可能性呢?

  • 利用ID Token,我们可以在浏览器中实现一种无状态的会话管理。通过将Token存储在浏览器的cookie中,服务器端不再需要存储会话信息。这样,我们只需要在服务器端验证Token的真实性,就可以轻松管理用户的会话状态。
  • ID Token还可以安全地传递给第三方应用程序或后端服务。由于Token本身并不是敏感信息,因此我们可以放心地将它分享给其他服务,以实现跨应用程序的身份验证和授权。
  • ID Token还可以用于与其他服务进行交互。例如,我们可以通过ID Token向Identity Provider服务器请求access token,从而在多个服务之间安全地传递和验证用户的身份。
相关文章
|
4月前
|
自然语言处理 前端开发 Java
JBoltAI 框架完整实操案例 在 Java 生态中快速构建大模型应用全流程实战指南
本案例基于JBoltAI框架,展示如何快速构建Java生态中的大模型应用——智能客服系统。系统面向电商平台,具备自动回答常见问题、意图识别、多轮对话理解及复杂问题转接人工等功能。采用Spring Boot+JBoltAI架构,集成向量数据库与大模型(如文心一言或通义千问)。内容涵盖需求分析、环境搭建、代码实现(知识库管理、核心服务、REST API)、前端界面开发及部署测试全流程,助你高效掌握大模型应用开发。
407 5
|
15天前
|
人工智能 Java 开发者
阿里出手!Java 开发者狂喜!开源 AI Agent 框架 JManus 来了,初次见面就心动~
JManus是阿里开源的Java版OpenManus,基于Spring AI Alibaba框架,助力Java开发者便捷应用AI技术。支持多Agent框架、网页配置、MCP协议及PLAN-ACT模式,可集成多模型,适配阿里云百炼平台与本地ollama。提供Docker与源码部署方式,具备无限上下文处理能力,适用于复杂AI场景。当前仍在完善模型配置等功能,欢迎参与开源共建。
452 4
阿里出手!Java 开发者狂喜!开源 AI Agent 框架 JManus 来了,初次见面就心动~
|
2月前
|
存储 缓存 安全
Java集合框架(二):Set接口与哈希表原理
本文深入解析Java中Set集合的工作原理及其实现机制,涵盖HashSet、LinkedHashSet和TreeSet三大实现类。从Set接口的特性出发,对比List理解去重机制,并详解哈希表原理、hashCode与equals方法的作用。进一步剖析HashSet的底层HashMap实现、LinkedHashSet的双向链表维护顺序特性,以及TreeSet基于红黑树的排序功能。文章还包含性能对比、自定义对象去重、集合运算实战和线程安全方案,帮助读者全面掌握Set的应用与选择策略。
148 23
|
28天前
|
SQL Java 数据库连接
区分iBatis与MyBatis:两个Java数据库框架的比较
总结起来:虽然从技术角度看,iBATIS已经停止更新但仍然可用;然而考虑到长期项目健康度及未来可能需求变化情况下MYBATISS无疑会是一个更佳选择因其具备良好生命周期管理机制同时也因为社区力量背书确保问题修复新特征添加速度快捷有效.
70 12
|
2月前
|
存储 缓存 安全
Java集合框架(三):Map体系与ConcurrentHashMap
本文深入解析Java中Map接口体系及其实现类,包括HashMap、ConcurrentHashMap等的工作原理与线程安全机制。内容涵盖哈希冲突解决、扩容策略、并发优化,以及不同Map实现的适用场景,助你掌握高并发编程核心技巧。
|
2月前
|
安全 Java 开发者
Java集合框架:详解Deque接口的栈操作方法全集
理解和掌握这些方法对于实现像浏览器后退功能这样的栈操作来说至关重要,它们能够帮助开发者编写既高效又稳定的应用程序。此外,在多线程环境中想保证线程安全,可以考虑使用ConcurrentLinkedDeque,它是Deque的线程安全版本,尽管它并未直接实现栈操作的方法,但是Deque的接口方法可以相对应地使用。
120 12
|
2月前
|
存储 安全 Java
Java集合框架(一):List接口及其实现类剖析
本文深入解析Java中List集合的实现原理,涵盖ArrayList的动态数组机制、LinkedList的链表结构、Vector与Stack的线程安全性及其不推荐使用的原因,对比了不同实现的性能与适用场景,帮助开发者根据实际需求选择合适的List实现。
|
4月前
|
SQL 人工智能 Java
阿里云百炼开源面向 Java 开发者的 NL2SQL 智能体框架
Spring-ai-alibaba-nl2sql 是析言 GBI 产品在数据问答领域的一次重要开源尝试,专注于 NL2SQL 场景下的核心能力开放。
1130 48