authentication - 您能解释一下 openid 连接流程中的 RP->OP 部分吗？

Question

我不明白 1 部分。

例如，我有一个网站 asdf.com 并使用 google OP，所以我有一个带有链接的 login with google 按钮(类似于 https://account.google.com/XXX?return_url=asdf.com)到我网站上的 google 站点。

所以用户会点击这个按钮登录，所以我认为1步骤应该是enduser -> OP？为什么 RP -> OP ？

Answer 1

让我们分段看，也可以把它们全部看一遍。这称为 Oauth2 舞蹈或三足 Oauth2 流程。舞蹈中有三个步骤来获得授权。有两个主要角色，客户端应用程序 和身份验证服务器，资源所有者 扮演角色。

第 1 步:

[客户端应用程序] 联系身份验证服务器。说我有一个用户愿意同意登录我的应用程序。

[Authentication server] 肯定没问题，用户必须先登录，然后我会向他们显示一个同意屏幕

https://accounts.google.com/o/oauth2/auth?client_id={clientid}.apps.googleusercontent.com&redirect_uri=urn:ietf:wg:oauth:2.0:oob&scope=https://www.googleapis.com/auth/analytics.readonly&response_type=code

[资源所有者(用户)]点击同意。

第 2 步:

[认证服务器]响应客户端。嘿，你的用户说你可以访问这里是授权码。

[客户端应用程序] 感谢这里的授权代码，我的客户端 ID 和密码 (客户端 ID 和密码基本上是客户端向授权服务器识别它的登录名和密码) 这个应该向你证明我就是我。

https://accounts.google.com/o/oauth2/token code=4/X9lG6uWd8-MMJPElWggHZRzyFKtp.QubAT_P-GEwePvB8fYmgkJzntDnaiAI&client_id={ClientId}.apps.googleusercontent.com&client_secret={ClientSecret}&redirect_uri=urn:ietf:wg:oauth:2.0:oob&grant_type=authorization_code

第 3 步。

[身份验证服务器] 太棒了，看起来你在这里有一个访问 token ，可能还有一个刷新 token 。

评论:

Open id connect 基本上建立在 Oauth2 之上，主要区别在于您发送的范围是 openid 。

喜欢玩的可以在这里测试Oauth2 playground