oauth-2.0 - 使用不同的 redirect_uri 和 openid.realm 参数从 Google OpenID 2.0 迁移到 OpenID Connect

Question

我正在从 Google OpenID 2.0 迁移到 OpenID Connect。我目前正在使用 Microsofts ACS它使用谷歌折旧的 OpenID 2.0 进行身份验证。这意味着我的领域被自动设置为' https://mywebsite.accesscontrol.windows.net:443/v2/openid '。

ACS 没有升级计划，所以我开始直接与 Google OpenID Connect 集成。我正在关注 Googles migration documentation上面说我可以添加一个 openid.realm参数(设置为用于 OpenID 2.0 的领域)，然后获取映射现有用户帐户所需的 openid_id。它还说 redirect_uri 必须相同 如 openid.realm .我猜是出于安全原因。

所以我的问题是我无法将重定向 uri 设置为与领域相同，因为领域是 ACS 端点，例如

https://accounts.google.com/o/oauth2/auth?response_type=code&client_id=id.apps.googleusercontent.com&redirect_uri=http%3A%2F%2Fmywebsite.com%3A2018%2F&scope=openid%20profile%20email&state=state&openid.realm=https%3A%2F%2Fmywebsite.accesscontrol.windows.net%3A443%2Fv2%2Fopenid

我尝试将它们设置为不同但出现错误

'Realm didn't match redirect_uri/origin. Error code: 5'

Google 是否计划支持此类案例？

关于如何解决这个问题的任何想法？

Answer 1

老问题，但如果它仍然很重要，我认为 Google docs实际上说:

“找到您的应用程序的 redirect_uri 并对其进行更改(如有必要)，使其与您的 OpenID 2.0 openid.realm 值、 匹配，根据匹配规则 在 section 9.2 of the OpenID 2.0 spec 中”

这归结为域匹配和 redirect_uri是 openid.realm 中路径的子路径，如果有的话。

由于您的 openid.realm包括一个我认为你有点搞砸的路径，你将不得不求助于在你的服务器中设置某种重定向来映射旧的 redirect_url到你的新路径。幸运的是，就我而言，我可以设置 redirect_url到任何新路径作为我的 openid.realm只有一个域名。