基于Security实现OIDC单点登录的详细流程

下面是基于Security实现OIDC单点登录的详细流程：

1. 环境准备

首先，要在项目中添加Spring Security和Spring Security OAuth2依赖：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>${spring.version}</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>${spring.version}</version>
</dependency>
<dependency>
    <groupId>org.springframework.security.oauth</groupId>
    <artifactId>spring-security-oauth2</artifactId>
    <version>${spring-security-oauth2.version}</version>
</dependency>

其中${spring-version}为Spring的版本号，${spring-security-oauth2.version}为Spring Security OAuth2的版本号。

然后，需要在OAuth2服务商那里注册你的网站，获取client ID和client secret。

2. 配置Security

在Spring Security中，可以使用@EnableOAuth2Sso注解启用单点登录功能，同时，需要配置Security的认证和授权方式。例如，使用用户名和密码认证，可以配置如下：

@Configuration
@EnableWebSecurity
@EnableOAuth2Sso
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("user").password("{noop}password").roles("USER");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/css/**", "/js/**", "/images/**");
    }
}

这里我们配置了一个简单的认证方案，在内存中存储了一个用户名为“user”，密码为“password”的用户。同时，我们还配置了HttpSecurity，指定了哪些URL需要进行认证，哪些URL是公开的。

3. 配置OAuth2

接下来，需要配置OAuth2的相关内容。在这里，我们使用GitHub作为OAuth2的服务提供商。

@Configuration
@EnableOAuth2Client
public class OAuth2Config {

    @Value("${github.client.id}")
    private String clientId;

    @Value("${github.client.secret}")
    private String clientSecret;

    @Value("${github.authorize.url}")
    private String authorizeUrl;

    @Value("${github.access.token.url}")
    private String accessTokenUrl;

    @Value("${github.redirect.uri}")
    private String redirectUri;

    @Bean
    public OAuth2ProtectedResourceDetails github() {
        AuthorizationCodeResourceDetails resource = new AuthorizationCodeResourceDetails();
        resource.setClientId(clientId);
        resource.setClientSecret(clientSecret);
        resource.setUserAuthorizationUri(authorizeUrl);
        resource.setAccessTokenUri(accessTokenUrl);
        resource.setScope(Arrays.asList("user"));
        resource.setPreEstablishedRedirectUri(redirectUri);
        resource.setUseCurrentUri(false);
        return resource;
    }

    @Bean
    public OAuth2RestTemplate restTemplate(OAuth2ClientContext context) {
        return new OAuth2RestTemplate(github(), context);
    }
}

这里我们定义了一个OAuth2ProtectedResourceDetails类型的bean，名为“github”。我们将GitHub的信息都存储在这个bean中，包括client ID、client secret、授权地址、token地址、回调地址等等。最后，我们再定义一个OAuth2RestTemplate类型的bean，使用github()方法中配置的信息，创建一个OAuth2RestTemplate实例。

4. 创建登录页面

在登录页面中，需要提供单点登录的入口，引导用户点击单点登录按钮，将用户重定向到GitHub的登录页面。同时，在GitHub授权成功后，将会将授权码返回给网站，通过授权码可以获取访问令牌，进而访问GitHub的API。

<!DOCTYPE html>
<html>
<head>
  <title>OIDC Single Sign On Demo</title>
</head>
<body>

  <h1>OIDC Single Sign On Demo</h1>

  <form method="post" action="/login">
    <div>
      <label for="username">Username:</label>
      <input type="text" id="username" name="username" />
    </div>
    <div>
      <label for="password">Password:</label>
      <input type="password" id="password" name="password" />
    </div>
    <div>
      <button type="submit">Submit</button>
      <a href="/oauth2/authorization/github">Sign in with GitHub</a>
    </div>
  </form>

</body>
</html>

可以看到，在这个页面中，我们提供了一个“Sign in with GitHub”的链接，指向“/oauth2/authorization/github”地址。这个链接将跳转到GitHub的登录页面，请求用户授权。

5. 处理授权码

在用户授权之后，GitHub会将授权码重定向到定义的回调地址。在代码中，我们需要处理这个授权码，使用OAuth2RestTemplate向GitHub请求访问令牌。

@Controller
public class LoginController {

    @Autowired
    private OAuth2RestTemplate restTemplate;

    @RequestMapping("/login")
    public String login() {
        return "login";
    }

    @RequestMapping("/user")
    public ResponseEntity<Map<String, String>> getUserInfo() {
        ResponseEntity<Map<String, String>> response = restTemplate.exchange(
            "https://api.github.com/user",
            HttpMethod.GET,
            null,
            new ParameterizedTypeReference<Map<String, String>>() {}
        );
        return response;
    }
}

在这个示例中，我们定义了一个/login地址的处理方法，返回登录页面。然后，我们定义了一个/user地址的处理方法，使用OAuth2RestTemplate请求GitHub的用户信息。可以看到，我们只需要向GitHub的API的URL发送GET请求，OAuth2RestTemplate会在请求中自动携带访问令牌。请求成功后，GitHub会返回用户的信息。

示例1

一家公司有三个网站，分别是A、B、C，由于业务需求，需要三个网站实现单点登录。这时，可以使用基于Security实现的OIDC单点登录，通过一个授权服务器实现。具体可以先在授权服务器上注册A、B、C三个网站，分别得到各自的client ID和client secret，然后在A、B、C的代码中集成OAuth2的客户端，完成单点登录的功能。

示例2

一个网站提供读书笔记的服务，由于用户量较大，网站想要集成OAuth2登录，增加用户的登录方式。这时，可以利用Spring Security OAuth2来实现第三方登录。例如，可以使用Google作为第三方登录的服务提供商，用户可以选择通过Google登录该网站。在完成OAuth2的认证授权后，根据用户的唯一标识，可以查找该用户在网站上对应的信息，例如存储的笔记、评论等。

本站文章如无特殊说明，均为本站原创，如若转载，请注明出处：基于Security实现OIDC单点登录的详细流程 - Python技术站