单点登录平台设计

朱雀 2024-02-17 12:32 27阅读 0赞

## 1.基本介绍 ##

### 1.1什么是单点登录 ###

单点登录（Single Sign-On，简称SSO）是一种身份认证的解决方案，它允许用户只需一次登录即可访问多个应用程序或系统。在一个典型的SSO系统中，用户只需通过一次身份认证，就可以获得访问多个应用程序的授权，而不需要在每个应用程序中单独进行身份验证。

![8706c578e3f54a1c952f28231bc4e582.png][]

### 1.2单点登录的原理 ###

单点登录（Single Sign-On，简称SSO）的实现原理通常涉及到以下几个步骤：

*  用户登录认证：用户在访问第一个应用程序时，需要进行身份验证并登录系统。这个过程可以使用任何一种常规的认证方式，比如用户名和密码、二次验证等等。
 *  生成令牌：认证通过后，系统会生成一个安全令牌（Token），将它存储在用户的浏览器中，同时将该令牌的信息存储在SSO服务器中。
 *  传递令牌：当用户访问其他应用程序时，应用程序将向SSO服务器发送令牌验证请求。SSO服务器会检查浏览器中的令牌信息，并确认用户的身份。
 *  验证身份：如果令牌有效且用户已经进行过身份验证，SSO服务器会向应用程序返回一个授权令牌，授权用户访问该应用程序。
 *  访问应用程序：应用程序会使用授权令牌来验证用户的身份，并允许用户访问应用程序的资源。

需要注意的是，SSO服务器需要能够识别和验证来自不同应用程序的令牌。为了实现这一点，通常使用标准的认证协议，如OAuth、OpenID Connect等，这些协议为应用程序提供了一种标准的方式来与SSO服务器交互。此外，SSO服务器还需要实现一些安全机制来防止令牌被盗用或伪造，如Token加密、过期时间等等。

## 2.基于OpenID Connect的SSO实现 ##

OpenID Connect 是一项在 OAuth 2.0 协议基础上构建的简单身份协议和开放式标准。 它使客户机应用程序依赖于 OpenID Connect 提供者执行的认证来验证用户身份。

OpenID Connect 使用 OAuth 2.0 进行认证和授权，然后构建用于唯一地标识用户的身份。 客户机还可以通过互操作和类似 REST 的方式从 OpenID Connect 提供者中获取关于用户的基本概要文件信

### 2.1单点登录流程 ###

*  用户1访问应用1，应用1判断用户未登录，发送302跳转并携带回调地址参数到SSO单点登录服务
 *  在SSO服务中，输入用户名和密码，登录SSO服务
 *  SSO服务登录成功后，跳转到回调地址，并携带code参数到应用1
 *  应用1根据code参数，调用接口/oauth2/token 获取AccessToken IdToken信息，根据IdToken获取对应的用户信息，自动登录应用1
 *  用户1访问应用2，应用2判断用户未登录，发送302跳转并携带回调地址参数到SSO单点登录服务
 *  SSO服务已登录，跳转到回调地址，并携带code参数到应用2
 *  应用2根据code参数，调用接口/oauth2/token 获取AccessToken IdToken信息，根据IdToken获取对应的用户信息，自动登录应用2![4dc2e93743b1465cba63a39f4d0067ba.png][]

### 2.2客户端注册表 ###

<table> 
 <tbody> 
 <tr> 
 <td style="background-color:#4684d3;width:83.05pt;"> 字段 </td> 
 <td style="background-color:#4684d3;width:56.25pt;"> 字段类型 </td> 
 <td style="background-color:#4684d3;width:277.5pt;"> 描述 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> id </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> varchar </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> 主键,系统自动生成 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> archived </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> tinyint </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> 用于标识客户端是否已存档(即实现逻辑删除),默认值为'0'(即未存档). 对该字段的具体使用请参考CustomJdbcClientDetailsService.java,在该类中,扩展了在查询client_details的SQL加上archived = 0条件 (扩展字段) </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> create_time </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> datetime </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> 数据的创建时间,精确到秒,由数据库在插入数据时取当前系统时间自动生成(扩展字段) </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> updated_time </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> timestamp </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> 数据的最后更新时间,由数据库自行更新维护 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> client_id </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> varchar </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> 唯一,不能为空. 用于唯一标识每一个客户端(client); 在注册时必须填写(也可由服务端自动生成). 对于不同的grant_type,该字段都是必须的. 在实际应用中的另一个名称叫appKey,与client_id是同一个概念. </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> client_id_issued_at </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> timestamp </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> client_id的签发时间, 默认为数据创建时间 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> client_secret </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> varchar </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> 用于指定客户端(client)的访问密匙; 在注册时必须填写(也可由服务端自动生成),加密保存. 对于不同的grant_type,该字段都是必须的. 在实际应用中的另一个名称叫appSecret,与client_secret是同一个概念. </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> client_secret_expires_at </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> datetime </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> client_secret的过期时间,null表示永不过期 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> client_name </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> varchar </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> 客户端(client)的名称,一般是一个有业务意义的名称 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> client_authentication_methods </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> varchar </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> 认证支持的方式,多个由逗号分隔; 如: client_secret_basic,client_secret_post; 一般指认证时传递client_secret支持哪些方式 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> authorization_grant_types </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> varchar </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> 指定客户端支持的grant_type,可选值包括authorization_code,urn:ietf:params:oauth:grant-type:device_code,refresh_token, urn:ietf:params:oauth:grant-type:jwt-bearer,client_credentials, 若支持多个grant_type用逗号(,)分隔,如: "authorization_code,refresh_token". 在实际应用中,当注册时,该字段是一般由服务器端指定的,而不是由申请者去选择的,最常用的grant_type组合有: "authorization_code,refresh_token"(针对通过浏览器访问的客户端); "client_credentials"(针对另一个服务端的场景,不需要用户参与). urn:ietf:params:oauth:grant-type:device_code与urn:ietf:params:oauth:grant-type:jwt-bearer是OAuth2.1中新增. </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> redirect_uris </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> varchar </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> OAuth2 认证后回调uri， 一般传递code, 多个由逗号分隔; 可为空, 当grant_type为authorization_code时, 在OAuth的流程中会使用并检查与注册时填写的redirect_uri是否一致. 下面分别说明:当grant_type=authorization_code时, 第一步 从 spring-oauth-server获取 'code'时客户端发起请求时必须有redirect_uri参数, 该参数的值必须与 web_server_redirect_uri的值一致. 第二步 用 'code' 换取 'access_token' 时客户也必须传递相同的redirect_uri. 在实际应用中, redirect_uris在注册时是必须填写的, 一般用来处理服务器返回的code, 验证state是否合法与通过code去换取access_token值. </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> post_logout_redirect_uris </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> varchar </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> OAuth2 退出时 post 的客户端重定向 uri; 可选 多个由逗号分隔, 一般在client注册时可填写 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> scopes </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> varchar </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> 指定客户端申请的权限范围,可选值在OIDC协议中定义, 包括openid,profile,email,address,phone;若有多个值用逗号(,)分隔,如: "openid,email". openid是必须有的,其他值若有则在获取的id_token中会包含对应的值. 在实际应该中, 该值一般由服务端指定, 常用的值为openid. </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> client_settings </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> varchar </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> 客户端的各类设置, 如是否支持PKCE，用户授权(consent)确认是否必须等; 详见代码ClientSettings.java; 此字段存储JSON格式的数据值. </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> token_settings </td> 
 <td style="background-color:#FFFFFF;width:56.25pt;"> varchar </td> 
 <td style="background-color:#FFFFFF;width:277.5pt;"> 对token的各类设置; 如 token有效期, refresh_token有效期等; 详见代码TokenSettings.java; 此字段存储JSON格式的数据值. </td> 
 </tr> 
 </tbody> 
</table>

### 2.3获取Authorization Uri ###

http://sso-server.com/oauth2/authorize

<table style="margin-left:5.8pt;width:562px;"> 
 <tbody> 
 <tr> 
 <td style="background-color:#4684d3;width:81.95pt;"> 参数 </td> 
 <td style="background-color:#4684d3;width:83.05pt;"> 值 </td> 
 <td style="background-color:#4684d3;width:256.5pt;"> 说明 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:81.95pt;"> response_type </td> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> code </td> 
 <td style="background-color:#FFFFFF;width:256.5pt;"> 固定值 'code' </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:81.95pt;"> scope </td> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> openid profile email </td> 
 <td style="background-color:#FFFFFF;width:256.5pt;"> OIDC标准中定义的scope有: openid, profile, email, address, phone; 具体支持哪些由注册的client决定 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:81.95pt;"> client_id </td> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> </td> 
 <td style="background-color:#FFFFFF;width:256.5pt;"> 客户端注册生成的client_id </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:81.95pt;"> redirect_uri </td> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> </td> 
 <td style="background-color:#FFFFFF;width:256.5pt;"> 回调用于检查server端返回的 'code'与'state',并发起对 access_token 的调用 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:81.95pt;"> state </td> 
 <td style="background-color:#FFFFFF;width:83.05pt;"> </td> 
 <td style="background-color:#FFFFFF;width:256.5pt;"> 一个随机值, oauth-server 将原样返回,用于检测是否为跨站请求(CSRF)等 </td> 
 </tr> 
 </tbody> 
</table>

根据参数，最终生成地址如下：

http://sso-server.com/oauth2/authorize?response\_type=code&scope=openid profile email&client\_id=3b10c5b6a2534ed980767d5e03029f93&redirect\_uri=http://localhost:8082/authorization\_code\_callback&state=0226f30c-d62d-4261-8241-c4971386f068

### 2.4获取access\_token (grant\_type=authorization\_code) ###

使用grant\_type=authorization\_code 方式来获取access\_token, 需要先获取code

1.  请求URI: /oauth2/token POST
2.  请求参数说明:

<table> 
 <tbody> 
 <tr> 
 <td style="background-color:#4684d3;width:113.05pt;"> 参数名 </td> 
 <td style="background-color:#4684d3;width:132.3pt;"> 参数值 </td> 
 <td style="background-color:#4684d3;width:48.25pt;"> 必须? </td> 
 <td style="background-color:#4684d3;width:116.25pt;"> 备注 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:113.05pt;"> client_id </td> 
 <td style="background-color:#FFFFFF;width:132.3pt;"> {client_id} </td> 
 <td style="background-color:#FFFFFF;width:48.25pt;"> 是 </td> 
 <td style="background-color:#FFFFFF;width:116.25pt;"> </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:113.05pt;"> client_secret </td> 
 <td style="background-color:#FFFFFF;width:132.3pt;"> {client_secret} </td> 
 <td style="background-color:#FFFFFF;width:48.25pt;"> 是 </td> 
 <td style="background-color:#FFFFFF;width:116.25pt;"> </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:113.05pt;"> grant_type </td> 
 <td style="background-color:#FFFFFF;width:132.3pt;"> authorization_code </td> 
 <td style="background-color:#FFFFFF;width:48.25pt;"> 是 </td> 
 <td style="background-color:#FFFFFF;width:116.25pt;"> 固定值 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:113.05pt;"> code </td> 
 <td style="background-color:#FFFFFF;width:132.3pt;"> {code} </td> 
 <td style="background-color:#FFFFFF;width:48.25pt;"> 是 </td> 
 <td style="background-color:#FFFFFF;width:116.25pt;"> </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:113.05pt;"> redirect_uri </td> 
 <td style="background-color:#FFFFFF;width:132.3pt;"> {redirect_uri} </td> 
 <td style="background-color:#FFFFFF;width:48.25pt;"> 是 </td> 
 <td style="background-color:#FFFFFF;width:116.25pt;"> </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;width:113.05pt;"> code_verifier </td> 
 <td style="background-color:#FFFFFF;width:132.3pt;"> {code_verifier} </td> 
 <td style="background-color:#FFFFFF;width:48.25pt;"> 否 </td> 
 <td style="background-color:#FFFFFF;width:116.25pt;"> PKCE时必须 </td> 
 </tr> 
 </tbody> 
</table>

1.  请求示例:

curl --location 'http://localhost:8080/oauth2/token' \\

\--header 'Content-Type: application/json' \\

\--form 'client\_id="client11"' \\

\--form 'grant\_type="authorization\_code"' \\

\--form 'redirect\_uri="http://localhost:8083/oauth2/callback"' \\

\--form 'code="-VEnyAcEflDxjMh4Hr-6YejZq4Mel5gihFy\_FMyotDxLhILeMBQheJkL4mdJ0sKD\_C8xpa\_sMNGf\_I2tYJIVki8a4ktT2QsHojhbV3HpbGLVhJ0qDc8kfXjWt7u\_24QO"' \\

\--form 'client\_secret="secret22"'

1.  **响应**

*  正常 \[200\]

"access\_token": "7154afT\_cxvLDq1naSg6Aq9ueSFSW8xRr5txryW5MlddRe7nV0RogTYwPsJc\_rrRqwaIvLleerLhkjtIN2E2U-4J\_BzvYNCsv8BVLqeerCObwgwpP3t\_\_NMMUakzRL2i",

"refresh\_token": "TZ9tzVwE\_VLoJxALUSw4A4A0Nj7SLSWXCc69U9rvNmSnqR8Hbz-1m4uHebJWsAK0sa7SDIR4SNXOB3iaM0p1bH\_8EBrljoBApQgdYi1uYzcVwYq55OVV2RUHN2BJwfSr",

"scope": "openid profile",

"id\_token": "eyJraWQiOiJzb3MtZWNjLWtpZDEiLCJhbGciOiJFUzI1NiJ9.eyJzdWIiOiJ1bml0eSIsImF1ZCI6IjZ1ck5MZ1I2b3NrMkU1NmVrcCIsInVwZGF0ZWRfYXQiOiIiLCJhenAiOiI2dXJOTGdSNm9zazJFNTZla3AiLCJhdXRoX3RpbWUiOjE2OTc3MDczNTQsImlzcyI6Imh0dHA6Ly8xMjcuMC4wLjE6ODA4MCIsIm5pY2tuYW1lIjoiIiwiZXhwIjoxNjk3NzA5MjA4LCJpYXQiOjE2OTc3MDc0MDgsImp0aSI6IjEyNTc0MjU2NTk4MDI2ODY2NzI3NDAwMTMxNjk5NDk0Iiwic2lkIjoidXdwN255RnJwdlNtWmlQS2hCdWVSVFZfcVRKYkN6ZjAyTmYwQTZGN1lrSSJ9.3w-7EY9SwKA-UkXlhDfD2BbSwP6nCSLZxNgKwhkkMY8YPbMkygbj374SmEmsit7NlpRXHCtW6ULZ9\_IVZ9MTBg",

"token\_type": "Bearer",

"expires\_in": 3599

*  异常 \[401\]

"error": "invalid\_grant"

### 2.5刷新access\_token (grant\_type=refresh\_token)  ###

用于在access\_token要过期时换取新的access\_token (grant\_type需要有refresh\_token)

1.  请求URI: /oauth2/token POST
2.  请求参数说明:

<table style="width:417.85pt;"> 
 <tbody> 
 <tr> 
 <td style="background-color:#4684d3;"> 参数名 </td> 
 <td style="background-color:#4684d3;width:111.2pt;"> 参数值 </td> 
 <td style="background-color:#4684d3;width:66.45pt;"> 必须? </td> 
 <td style="background-color:#4684d3;width:160.7pt;"> 备注 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;"> client_id </td> 
 <td style="background-color:#FFFFFF;width:111.2pt;"> {client_id} </td> 
 <td style="background-color:#FFFFFF;width:66.45pt;"> 是 </td> 
 <td style="background-color:#FFFFFF;width:160.7pt;"> </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;"> client_secret </td> 
 <td style="background-color:#FFFFFF;width:111.2pt;"> {client_secret} </td> 
 <td style="background-color:#FFFFFF;width:66.45pt;"> 是 </td> 
 <td style="background-color:#FFFFFF;width:160.7pt;"> </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;"> grant_type </td> 
 <td style="background-color:#FFFFFF;width:111.2pt;"> refresh_token </td> 
 <td style="background-color:#FFFFFF;width:66.45pt;"> 是 </td> 
 <td style="background-color:#FFFFFF;width:160.7pt;"> 固定值 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;"> refresh_token </td> 
 <td style="background-color:#FFFFFF;width:111.2pt;"> {refresh_token} </td> 
 <td style="background-color:#FFFFFF;width:66.45pt;"> 是 </td> 
 <td style="background-color:#FFFFFF;width:160.7pt;"> </td> 
 </tr> 
 </tbody> 
</table>

1.  请求示例:

curl --location 'http://localhost:8080/oauth2/token' \\

\--header 'Content-Type: application/json' \\

\--form 'client\_id="6urNLgR6osk2E56ekp"' \\

\--form 'client\_secret="6urNLgR6osk2E56ekp"' \\

\--form 'grant\_type="refresh\_token"' \\

\--form 'refresh\_token="TZ9tzVwE\_VLoJxALUSw4A4A0Nj7SLSWXCc69U9rvNmSnqR8Hbz-1m4uHebJWsAK0sa7SDIR4SNXOB3iaM0p1bH\_8EBrljoBApQgdYi1uYzcVwYq55OVV2RUHN2BJwfSr"'

1.  响应

*  正常 \[200\]

"access\_token": "YnVdTXl0MhslsrOjiz1ffSixvPnWCN-XS-UBlkS89daZbd\_TvXtSSo\_ODuFVWPWw1KsO5WQykVPjwSe\_Kreo8ngIP9DglaXJMbYJJu4Wa6\_geOINj5ksmnbfb6pHrQHr",

"refresh\_token": "TZ9tzVwE\_VLoJxALUSw4A4A0Nj7SLSWXCc69U9rvNmSnqR8Hbz-1m4uHebJWsAK0sa7SDIR4SNXOB3iaM0p1bH\_8EBrljoBApQgdYi1uYzcVwYq55OVV2RUHN2BJwfSr",

"scope": "openid profile",

"id\_token": "eyJraWQiOiJzb3MtZWNjLWtpZDEiLCJhbGciOiJFUzI1NiJ9.eyJzdWIiOiJ1bml0eSIsImF1ZCI6IjZ1ck5MZ1I2b3NrMkU1NmVrcCIsInVwZGF0ZWRfYXQiOjAsImF6cCI6IjZ1ck5MZ1I2b3NrMkU1NmVrcCIsImF1dGhfdGltZSI6MTY5NzcwNzM1NCwiaXNzIjoiaHR0cDovLzEyNy4wLjAuMTo4MDgwIiwibmlja25hbWUiOiIiLCJleHAiOjE2OTc3MjQyNjMsImlhdCI6MTY5NzcyMjQ2MywianRpIjoiMDc4OTc4MTUxNzEwNTgwNDE2ODY0NzgxMDQ1OTM5MDYiLCJzaWQiOiJ1d3A3bnlGcnB2U21aaVBLaEJ1ZVJUVl9xVEpiQ3pmMDJOZjBBNkY3WWtJIn0.j0KVv7bAi85zbX-0wvWe83n\_CQdmJLGrHJNFwF5jA1-wa8QzaSwJbznpjbHLGTv-UbI2YeHLn8N5iGXDarbC9Q",

"token\_type": "Bearer",

"expires\_in": 3599

*  异常 \[401\]

"error": "invalid\_client"

### 2.6检查token (/oauth2/introspect) public ###

校验, 检查token的有效性

1.  求URI: /oauth2/introspect POST
2.  请求参数说明:

<table> 
 <tbody> 
 <tr> 
 <td style="background-color:#4684d3;"> 参数名 </td> 
 <td style="background-color:#4684d3;"> 参数值 </td> 
 <td style="background-color:#4684d3;width:57.75pt;"> 必须? </td> 
 <td style="background-color:#4684d3;width:188.05pt;"> 备注 </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;"> client_id </td> 
 <td style="background-color:#FFFFFF;"> {client_id} </td> 
 <td style="background-color:#FFFFFF;width:57.75pt;"> 是 </td> 
 <td style="background-color:#FFFFFF;width:188.05pt;"> </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;"> client_secret </td> 
 <td style="background-color:#FFFFFF;"> {client_secret} </td> 
 <td style="background-color:#FFFFFF;width:57.75pt;"> 是 </td> 
 <td style="background-color:#FFFFFF;width:188.05pt;"> </td> 
 </tr> 
 <tr> 
 <td style="background-color:#FFFFFF;"> token </td> 
 <td style="background-color:#FFFFFF;"> {token} </td> 
 <td style="background-color:#FFFFFF;width:57.75pt;"> 是 </td> 
 <td style="background-color:#FFFFFF;width:188.05pt;"> token可以是access_token, refresh_token 或 id_token </td> 
 </tr> 
 </tbody> 
</table>

1.  请求示例:

curl --location 'http://localhost:8080/oauth2/introspect' \\

\--header 'Content-Type: application/json' \\

\--form 'client\_id="6urNLgR6osk2E56ekp"' \\

\--form 'client\_secret="6urNLgR6osk2E56ekp"' \\

\--form 'token="GaHu88XEEAz41xMHfDk05bg9uSJ5Go1RF6jOe5eX7OhHD\_52NK\_fuwvVWq\_dTRIhK8WR9SnCAtBBc0fVsOyGgz8-MhmVTG-dcDi6QtGQQtYxwmGrD-fOhpmePdUv6pwV"'

1.  **响应**

*  正常 \[200\]

"active": true,

"sub": "admin",

"aud": \[

"6urNLgR6osk2E56ekp"

\],

"nbf": 1697721873,

"scope": "openid profile",

"iss": "http://127.0.0.1:8080",

"exp": 1697725474,

"iat": 1697721874,

"jti": "a1aa8f82-c885-45b3-a469-c2f595e8f12d",

"client\_id": "6urNLgR6osk2E56ekp",

"token\_type": "Bearer"

根据不同类型的token响应**结果**不相同; active=true表示token为有效的

*  异常 \[200\]

"active": false

### 2.7 OIDC /userinfo 获取用户信息 ###

客户端带上access\_token获取用户信息

1.  请求URI: /userinfo GET
2.  请求示例:

curl --location 'http://localhost:8080/userinfo' \\

\--header 'Content-Type: application/json' \\

\--header 'Authorization: Bearer eyJraWQiOiJzb3MtcnNhLWtpZDIiLCJhbGciOiJSUzI1NiJ9.eyJzdWI...'

1.  响应

*  正常 \[200\]

"sub": "unity",

"updated\_at": 0,

"nickname": ""

*  具体有哪些属性值由scope范围来决定
 *  异常 \[401\]

## 3.小程序接口 ##

### 登录凭证校验 /minapp/code2session ###

通过 wx.login 接口获得临时登录凭证 code 后调用此接口，参考https://developers.weixin.qq.com/miniprogram/dev/OpenApiDoc/user-login/code2Session.html

接口返回微信登录信息和统一登录平台的accessToken

### 获取小程序手机号 /minapp/getuserphonenumber ###

参考 https://developers.weixin.qq.com/miniprogram/dev/OpenApiDoc/user-info/phone-number/getPhoneNumber.html

[8706c578e3f54a1c952f28231bc4e582.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/06/ec717d573c314b4c83b92cc2a1a7e9ea.png
[4dc2e93743b1465cba63a39f4d0067ba.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/06/6394db02255f472abc916e207e882ef7.png