单点登录-OIDC

概述

OpenID Connect(OIDC)是基于OAuth 2.0协议之上的身份认证层，为应用提供了一种验证终端用户身份的标准化方式。OIDC协议已成为现代单点登录(SSO)系统的主流选择，被众多企业和互联网应用广泛采用。

核心概念

身份提供商(IdP, Identity Provider): 负责认证用户并提供身份信息的服务，如专属集成平台

服务提供商(RP, Relying Party): 依赖身份提供商进行用户认证的应用系统，如钉钉

ID Token: 包含用户身份信息的JWT(JSON Web Token)

Access Token: 用于访问受保护资源的令牌

授权码(Authorization Code): 用于交换获取ID Token和Access Token的中间凭证

用户信息端点(UserInfo Endpoint): 提供额外用户信息的API端点

OIDC工作流程

用户访问应用: 用户尝试访问需要身份认证的应用

应用重定向到IdP: 应用将用户重定向到身份提供商的授权端点

用户认证: 用户在身份提供商处完成身份认证

返回授权码: 身份提供商生成授权码并将用户重定向回应用

获取令牌: 应用使用授权码向身份提供商的令牌端点请求ID Token和Access Token

验证身份: 应用验证ID Token中的用户身份信息

授权访问: 验证成功后，应用允许用户访问受保护资源

OIDC单点登录的优势

标准化: 基于开放标准，兼容性好，易于集成

安全性: 使用JWT进行签名和加密，保证数据完整性和机密性

灵活性: 支持多种授权流程，适应不同应用场景

扩展性: 可以传递丰富的用户属性信息

移动友好: 原生支持移动应用和单页应用

集中式管理: 统一的身份认证和授权管理

配置流程

本节以专属集成平台(IdP)与钉钉(RP)之间的单点登录配置为例，详细说明OIDC协议的实施步骤。

前提条件

拥有专属集成平台管理员账号

拥有钉钉管理员账号

确保专属集成平台中已创建相应用户

了解OIDC协议的基本原理和流程

配置概览

配置OIDC单点登录的主要步骤包括：

在身份提供商(IdP)中创建OIDC应用

配置应用基本信息和OIDC参数

在服务提供商(RP)中配置SSO设置

设置授权范围

测试单点登录

在专属集成平台中创建OIDC应用

添加自定义应用

登录管理控制台

登录专属集成平台管理控制台

导航到应用市场

导航至"应用管理"→"应用市场"

创建自定义应用

选择"添加应用"→"自定义应用"

配置应用基本信息

基本信息参数说明：

参数名称	说明
自定义应用名称	应用名称，建议使用有意义的描述性名称，如"钉钉SSO"
应用分类	应用分类，可选择已有分类或自定义新增分类
首页地址	应用的主页地址
Client ID	应用的唯一标识，系统自动生成，不可编辑
Client Secret	应用的密钥，系统自动生成，不可编辑，可重制

配置OIDC协议参数

在应用详情页面，配置OIDC协议相关参数：

OIDC配置参数说明：

参数名称	说明
登录方式	控制访问该应用的登录方式选项
单点协议	选择"OIDC"协议
RedirectURIs	重定向URI，钉钉固定为：https://login.dingtalk.com/oauth2/oidcCallBack.htm
授权类型	OIDC支持的授权类型，通常选择"authorization_code"
授权范围	指定应用请求的权限范围，通常包括"openid"、"profile"、"email"等
ID Token签名算法	JWT签名算法，常用RS256或HS256
Access Token过期时间	访问令牌的有效期，建议设置合理的时间
Refresh Token过期时间	刷新令牌的有效期，通常长于Access Token

在钉钉管理后台配置SSO设置

访问钉钉SSO设置页面

登录钉钉管理后台

导航到SSO设置

导航至"安全与权限"→"SSO单点登录设置"

配置OIDC连接信息

选择专属集成平台

选择配置方式为"专属集成平台"

填写连接参数

输入Issuer地址和Client ID

OIDC连接参数说明：

参数名称	说明	获取方式
Issuer	身份提供商的签发者URL	专属集成平台的应用所在地址，例如：https://xxxxxxx.dingtalk.com
Client ID	应用的客户端ID	从专属集成平台应用详情页获取，例如：AD124032EB21B9EAAB8F35B7A4119D0E

配置授权范围

进入授权范围

在应用详情页，切换到"授权范围"选项卡

选择授权方式

可通过以下方式进行授权：

基于组织架构和用户授权：授权特定部门或用户

基于角色授权(RBAC)：通过静态标签(角色)授权

基于用户属性授权(ABAC)：通过动态标签(用户属性)授权

保存配置

根据企业需求选择合适的授权方式并配置授权范围，保存配置

测试与验证

测试登录流程

访问钉钉

打开钉钉客户端或网页版

选择企业认证

选择"企业认证"登录方式

完成认证

系统将重定向到专属集成平台的登录页面，输入用户名和密码完成认证

验证结果

认证成功后，自动重定向回钉钉，完成登录

常见问题排查

问题现象	可能原因	解决方案
无法重定向到IdP	RedirectURIs配置错误	检查RedirectURIs是否正确配置为钉钉的回调地址
登录后返回错误	Issuer或Client ID不正确	核对钉钉SSO设置中的Issuer和Client ID是否与专属集成平台中的一致
无法完成认证	用户未被授权	检查用户是否在授权范围内
ID Token验证失败	签名算法不匹配	确认ID Token签名算法设置正确
单点登录成功但权限不足	用户属性映射问题	检查OIDC声明(Claims)配置，确保必要的用户属性正确传递

高级特性

OIDC授权流程

OIDC支持多种授权流程，适用于不同的应用场景：

授权码流程(Authorization Code Flow): 最常用的流程，适合服务器端应用

隐式流程(Implicit Flow): 适用于无后端的单页应用

混合流程(Hybrid Flow): 结合授权码和隐式流程的特点

密码凭证流程(Resource Owner Password Credentials Flow): 适用于高度信任的应用

客户端凭证流程(Client Credentials Flow): 适用于服务器间通信

用户信息与声明(Claims)

OIDC允许通过ID Token和UserInfo端点传递用户信息：

标准声明: 如sub(用户ID)、name、email、picture等

自定义声明: 企业可定义特定的用户属性

声明映射: 可将IdP中的用户属性映射到特定的OIDC声明

会话管理

OIDC提供多种会话管理机制：

前端通道登出(Front-Channel Logout): 通过浏览器重定向实现

后端通道登出(Back-Channel Logout): 通过服务器间直接通信实现

会话状态(Session State): 监控用户会话状态的机制

安全考虑

实施OIDC时的重要安全措施：

PKCE(Proof Key for Code Exchange): 防止授权码拦截

Nonce值: 防止重放攻击

状态参数(State): 防止CSRF攻击

令牌加密: 保护敏感信息

Client Secret管理: 安全存储和定期轮换

与其他SSO协议比较

OIDC vs SAML

特性	OIDC	SAML
数据格式	JSON/JWT	XML
复杂度	相对简单	较为复杂
移动友好性	高，原生支持	低，需要特殊处理
成熟度	较新但发展迅速	成熟稳定
API集成	原生支持	有限支持
适用场景	现代Web/移动应用	企业级传统应用

OIDC vs CAS

特性	OIDC	CAS
标准化程度	国际标准，广泛采用	开源项目，主要在教育领域
用户信息传递	丰富，通过ID Token和UserInfo	有限，需要额外配置
令牌格式	JWT，自包含信息	不透明票据
扩展性	高，支持多种应用类型	中等，主要针对Web应用
生态系统	丰富多样	相对有限

最佳实践

安全建议

使用HTTPS保护所有OIDC通信

实施适当的令牌生命周期管理

对敏感应用启用多因素认证

应用PKCE增强授权码流程安全性

实施IP地址过滤和异常登录检测

定期审计访问日志

用户体验优化

设计友好的登录界面

最小化重定向次数

提供"记住我"功能

实现无缝的会话续期

提供清晰的错误信息

管理建议

建立用户生命周期管理流程

实施角色基础的访问控制

定期审计授权范围

监控认证服务健康状况

制定应急响应计划

常见问题

Q：OIDC与OAuth 2.0有什么区别？

Q：如何处理多个应用的单点登录？

Q：OIDC如何保护用户隐私？

Q：如何实现单点登出？

Q：OIDC的Token有哪些安全考虑？

附录

OIDC常用端点

端点名称	用途
Authorization Endpoint	用户认证和授权
Token Endpoint	获取ID Token和Access Token
UserInfo Endpoint	获取额外的用户信息
End Session Endpoint	结束用户会话(登出)
JWKS URI	获取公钥信息，用于验证Token签名
Discovery Document	.well-known/openid-configuration，获取IdP配置信息

常用OIDC客户端库

JavaScript: oidc-client-js

.NET: IdentityModel

Java: Nimbus JOSE+JWT

Python: oic

PHP: oauth2-client

Go: golang.org/x/oauth2

概述#

核心概念#

OIDC工作流程#

OIDC单点登录的优势#

配置流程#

前提条件#

配置概览#

在专属集成平台中创建OIDC应用#

添加自定义应用#

配置应用基本信息#

配置OIDC协议参数#

在钉钉管理后台配置SSO设置#

访问钉钉SSO设置页面#

配置OIDC连接信息#

配置授权范围#

测试与验证#

测试登录流程#

常见问题排查#

高级特性#

OIDC授权流程#

用户信息与声明(Claims)#

会话管理#

安全考虑#

与其他SSO协议比较#

OIDC vs SAML#

OIDC vs CAS#

最佳实践#

安全建议#

用户体验优化#

管理建议#

常见问题#

附录#

OIDC常用端点#

常用OIDC客户端库#

概述