单点登录：SAML、OAuth2、OIDC 的区别与联系

本文主要是介绍单点登录：SAML、OAuth2、OIDC 的区别与联系，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

文章目录

- 概要
- 单点登录架构流程
- SAML
- OAuth2
- OIDC
- 小结

概要

首先，我们概况一下什么是单点登录：
单点登录(SSO)是一种集中式访问控制技术，允许主体在系统上进行单次身份认证并访问多个资源，而不必再次进行身份认证。

登录一定会涉及的两个概念：

认证：验证主体身份的有效性，其中主体不仅单指用户，也会涉及对设备、服务的验证。
授权：授予主体对客体的权限信息，主体是活动的，客体是被动的，两者的关系处于流动的状态，取决于不同的业务场景。

单点登录的优势在于用户友好，方便，以及安全性高，用户不需要记住多个用户名和口令（用户往往会将其记录到纸上或文档中，造成泄露）。

单点登录的主要缺点是，攻击者一旦侵入账号，即可对所有授权资源的应用程序无限制访问。

单点登录架构流程

Client（用户）在浏览器页面上请求Application Server（应用服务）
Service Loader 发现未登录，重定向到 Authentication Server（认证服务），并携带当前Application Server的重定向地址、应用标识等信息
Client 浏览器的页面重定向到 Authentication Server
Authentication Server发现未登录，显示登录页面
Client 输入认证信息
Authentication Server对认证信息校验，如果认证成功则生成对应的cookie信息返回至浏览器，
Authentication Server同时重定向到步骤2中携带的Application Server重定向地址，并携带一个ticket信息。
Application Server会用ticket再次请求Authentication Server，如果校验通过，则获取到合法的用户信息。
Application Server生成当前服务的cookie信息返回至浏览器，并提供服务。
后续Client请求其他Application Server，会跳过步骤4、5，6，从而实现单点登录的效果。

所以，我们可以看出单点登录最重要的因素在于Authentication Server（认证服务）的全局会话。同时为了安全性，Authentication Server也会对认证的应用进行安全校验、对ticket进行时间和使用次数的校验。进一步的，同一个Client在不同Application Server可能也有不同的权限，这时候Authentication Server就需要包含Authorization Server（授权服务）功能。

SAML

SAML协议全称为Security Assertion Markup Language，它是一个基于XML的标准协议。SAML标准定义了身份提供者（Identity Provider）和服务提供者（Service Provider）之间，如何通过SAML规范，采用加密和签名的方式来建立互信，从而交换用户身份信息。

其中，Service Provider可以理解上面单点登录流程中的Application Server，Identity Provider则为Authentication Server。
SAML与上面单点登录流程可能不同的地方有：

Identity Provider认证用户信息通过后，会通过加密和签名的方式将用户信息直接返回Service Provider。这也要求两者之间要互换证书来建立互信。
SAML协议特别复杂、在使用中一些细节会给使用者带来困扰。
SAML协议传递的数据是加密后的XML数据。

OAuth2

OAuth2其实是一个Authorization Server（授权服务），当然也包含了基础的Authentication Server（认证服务）。它是为了解决同一个用户在不同Application Server之间的权限请求控制问题。

在OAuth 2.0的协议交互中，有四个角色的定义：

资源所有者（Resource Owner）：拥有资源的所有权，可以解决应用程序（Client）能否访问资源服务器（Resource Server）。
资源服务器（Resource Server）：保存着受保护的用户资源。
应用程序（Client）：需要访问用户资源的应用程序。
授权服务器（Authorization Server）：授权服务器，在获取用户的同意授权后，颁发访问令牌给应用程序，以便其获取用户资源。

举个例子，我登录CSDN的时候，有个选项是是否使用微信登录，如果使用微信登录，就会从微信服务获取用户信息并登录。这时候，资源所有者就是我，资源服务器是微信，授权服务器也是微信，应用程序就是CSDN。

OAuth 2.0定义了四种授权方式。

授权码模式（authorization code）
简化模式（implicit）
密码模式（resource owner password credentials）
客户端模式（client credentials）

这里以授权码模式为例：

如果我选了使用微信登录，那么CSDN就会如单点登录流程步骤2中所示，跳转到微信页面，同时携带CSDN的重定向地址、应用标识等信息；
作为资源所有者的我选择是否给予CSDN授权；
如果选择授权，微信就会如单点登录流程步骤7一样，重定向到CSDN页面，同时携带一个authorization code（作用和ticket一样）和重定向URI；
CSDN收到授权码，在请求中携带授权码和重定向URI向微信申请令牌；
微信核对了授权码和重定向URI，确认无误后，向CSDN送访问令牌（access token）和更新令牌（refresh token）。