## Wprowadzenie [Protokół OpenID Connect](https://openid.net/specs/openid-connect-core-1_0.html), znany również jako OIDC, stał się powszechnie przyjętym standardem do zapewnienia podstawowej ramy zarządzania tożsamością. Jest to warstwa autentykacji zbudowana na podstawie dobrze znanego protokołu OAuth 2.0. Podczas gdy OAuth 2.0 służy jedynie do autoryzacji zasobów, OIDC to protokół, który standaryzuje i wzmacnia autentykację klienta, za pomocą nowo wprowadzonego tokena ID. Czekaj... Mogłeś słyszeć o tokenie odświeżania i tokenie dostępu w erze OAuth, a teraz tu pojawia się nowy koncept w OIDC? Czy naprawdę rozumiesz różnice między tymi tokenami? [Logto](https://logto.io/), nasze kompleksowe rozwiązanie do zarządzania tożsamościami i dostępu klientów (CIAM), jest zbudowane na protokole OIDC. W naszej społeczności jednym z najczęściej zadawanych pytań przez naszych użytkowników jest: > **Jakie są różnice między tokenem odświeżania, tokenem dostępu i tokenem ID?** Więc w tym poście zagłębimy się w kluczowe aspekty tokenów OIDC, jednocześnie pokazując, jak Logto ulepsza ogólne doświadczenia dewelopera. Spróbuj Logto Cloud w 5 minut ## Zacznijmy od praktycznego scenariusza Wyobraź sobie, że pracujesz nad typową aplikacją klient-serwer, która komunikuje się za pomocą interfejsów API RESTful. Chcesz zachować prywatność większości swoich API, zezwalając tylko autoryzowanym klientom na dostęp. Wtedy możesz zadać sobie pierwsze pytanie: ### Którego typu tokena potrzebuję do ochrony mojego API? Szybka odpowiedź to: Token dostępu. W OIDC każde chronione API jest traktowane jako zasób. Token dostępu to identyfikator, który klient przekazuje serwerowi podczas żądania zasobu API, zazwyczaj poprzez nagłówek żądania. Po stronie serwera, za każdym razem, gdy przychodzi żądanie, serwer musi tylko sprawdzić, czy przychodzące żądanie zawiera ważny token dostępu. Tokeny dostępu to krótkotrwałe identyfikatory, które umożliwiają dostęp do chronionych zasobów w imieniu użytkownika. Kiedy użytkownik skutecznie uwierzytelnia się za pomocą OIDC, serwer autoryzacji wydaje token dostępu. Ten token zawiera informacje o użytkowniku, jego uprawnieniach, a także o długości trwania jego ważności. Token jest następnie wysyłany z każdym kolejnym wnioskiem do serwera zasobów, co pozwala serwerowi zweryfikować tożsamość użytkownika i autoryzować dostęp do żądanych zasobów. Jednak mogłeś zastanawiać się: Jeśli moja aplikacja klienta może mieć ważny token dostępu po udanej rejestracji, i używać tokena dostępu do wysyłania żądań do serwera API, czy to nie jest wystarczające? Dlaczego potrzebuję tokenów odświeżania i tokenów ID? I rzeczywiście, to jest słuszne pytanie, i wyjaśnijmy to krok po kroku. ### Dlaczego potrzebujemy tokenów odświeżania? Chociaż technicznie tokeny dostępu spełniają minimalne wymagania, aby system działał, jednak ze względów bezpieczeństwa ważność tokenów dostępu jest zazwyczaj bardzo krótka (zwykle godzina). Więc wyobraź sobie, że jeśli mamy tylko tokeny dostępu, użytkownicy końcowi będą musieli się ponownie uwierzytelnić za każdym razem, gdy token dostępu wygaśnie. Dla nowoczesnych jednostronnicowych aplikacji internetowych i zwłaszcza aplikacji mobilnych, częste wylogowywanie się to dość bolesne doświadczenie, mimo że tylko próbujemy chronić ich bezpieczeństwo użytkownika. Dlatego potrzebujemy równowagi między bezpieczeństwem tokena a wygodą użytkownika. Dlatego OIDC wprowadza tokeny odświeżania. Token odświeżania to token o dłuższym okresie ważności, który służy do uzyskiwania nowych tokenów dostępu bez wymagania ponownego uwierzytelniania użytkownika. Jest to jak klucz do uzyskania więcej kluczy. Tokeny odświeżania są używane, gdy token dostępu wygaśnie lub wymaga odnowienia. Mają one dłuższy okres ważności w porównaniu do tokenów dostępu, często trwającymi dni, tygodnie, czy nawet miesiące. ### Dlaczego tokeny odświeżania mogą mieć dłuższy okres ważności? Tokeny dostępu są używane do dostępu do zasobów API, więc ich krótkotrwała natura pomaga zminimalizować ryzyko wycieku lub kompromitacji. Z drugiej strony, ponieważ tokeny odświeżania są używane tylko do wymiany na nowe tokeny dostępu, nie są one używane tak często jak tokeny dostępu, a więc ryzyko narażenia jest zredukowane. Dlatego dłuższy okres ważności jest uważany za akceptowalny dla tokenów odświeżania. ### Zabezpieczanie tokenów odświeżania Ponieważ token odświeżania jest również przechowywany po stronie klienta, zapewnienie, że nie zostanie skompromitowany, jest wyzwaniem, szczególnie dla klientów publicznych, takich jak jednostronicowe aplikacje internetowe (SPA). W Logto, tokeny odświeżania mają automatyczny [mechanizm rotacji](https://datatracker.ietf.org/doc/html/draft-ietf-oauth-security-topics-13#section-4.12) włączony domyślnie, co oznacza, że serwer autoryzacji wyda nowy token odświeżania po spełnieniu kryteriów: - Aplikacje jednostronicowe: Uznawane za klientów niezwiązanych z nadawcą, te aplikacje wymagają rotacji tokena odświeżania. Czas życia (TTL) tokena odświeżania nie może być określony. - Aplikacje natywne i tradycyjne aplikacje internetowe: Rotacja tokena odświeżania jest w nich naturalnie włączona, automatycznie odnawiając się po osiągnięciu 70% swojego TTL. [Dowiedz się więcej](https://docs.logto.io/docs/references/applications/#rotate-refresh-token) Chociaż masz nadal możliwość wyłączenia rotacji tokena odświeżania na stronie szczegółów aplikacji w konsoli administratora, zdecydowanie zaleca się zachowanie tego środka zabezpieczającego. ### Istota tokenu ID [Token ID](https://openid.net/specs/openid-connect-core-1_0.html#IDToken) umożliwia klientowi uzyskanie podstawowych informacji o użytkowniku bez wysyłania żądania do serwera. Token ID to nowy typ tokenu wprowadzony przez OIDC, który przechowuje informacje o uwierzytelnieniu użytkownika, poprawiając wydajność i doświadczenie użytkownika. W przeciwieństwie do tokenów dostępu, które są przeznaczone tylko dla serwera zasobów, tokeny ID są przyjazne dla klienta. Kiedy klient wysyła żądanie wymiany tokena OIDC, może zażądać tokena ID, a także tokena dostępu. Token ID to JSON Web Token (JWT), który zawiera roszczenia użytkownika, takie jak nazwa użytkownika, e-mail, zdjęcie awataru itp. Jest podpisywany przez serwer autoryzacji i może być weryfikowany i dekodowany przez klienta offline. Jest to szczególnie przydatne dla nowoczesnych jednostronicowych aplikacji internetowych i aplikacji mobilnych, gdzie klient może buforować token ID i używać go do określenia statusu uwierzytelnienia użytkownika, co znacznie pomaga ogólnej wydajności i doświadczeniu użytkownika. Ważne jest również zauważenie, że tokeny ID nie służą do autoryzacji dostępu do chronionych zasobów; tę rolę spełniają tokeny dostępu. W Logto, używamy także tokena ID w naszych SDK, aby pomóc określić status uwierzytelnienia po stronie klienta. Na przykład, w naszych [SDK JS](https://docs.logto.io/docs/references/applications/#rotate-refresh-token), możesz zobaczyć: ```tsx const isAuthenticated = Boolean(await this.getIdToken()); ``` Jednak, jak wspomniano powyżej, flaga `isAuthenticated` w SDK klienta jest tylko buforowanym statusem. Rzeczywisty status uwierzytelnienia musi być określany przez serwer, poprzez walidację tokenów odświeżenia i dostępu. Dostarczamy również funkcję `getUserClaims()` w naszych SDK, aby pomóc Ci zdekodować token ID i uzyskać roszczenia użytkownika. Jednak buforowany status nie jest odświeżany, dopóki użytkownik nie zaloguje się ponownie. Jeśli chcesz pobrać aktualne informacje o użytkowniku z serwera OIDC, użyj funkcji `fetchUserInfo()`. ## Korzyści i funkcje Logto Logto jest zbudowane ściśle według protokołu OIDC, jednocześnie oferując dodatkowe funkcje i korzyści dla programistów i firm: 1. Wygodne SDK: SDK Logto upraszcza dla Ciebie zarządzanie tokenami. Nie musisz ręcznie przechowywać swojego tokena odświeżania i tokena dostępu. Po prostu wywołaj `getAccessToken()` za każdym razem, a SDK zawsze spróbuje ponownie użyć przechowywanego tokena dostępu, lub automatycznie go odnawia, jeśli jest wygasły. 2. Rotacja tokena odświeżania: Logto nakłada mechanizm rotacji tokena odświeżania, aby upewnić się, że Twój token odświeżania jest zawsze odnawiany po jego zużyciu, co zmniejsza ryzyko wycieku lub kompromitacji. Chociaż możesz go jeszcze wyłączyć w konsoli administratora, zdecydowanie zaleca się, aby go włączyć. 3. Optymalizacja wydajności: Dzięki tokenom ID, zawsze możesz uzyskać podstawowe informacje o użytkowniku bez wysyłania żądania do serwera. Wykorzystaj status `isAuthenticated` i funkcję `getIdTokenClaims()` dostarczane przez SDK Logto do sprawdzania statusu uwierzytelnienia użytkownika i dekodowania roszczeń użytkownika po stronie klienta. 4. Wzmocnione bezpieczeństwo: Logto wymusza bezpieczne połączenia między klientem a serwerem autoryzacji za pomocą HTTPS i TLS. Chroni to Twoje tokeny przed potencjalnym kradzieżą przez nieautoryzowane strony trzecie i gwarantuje bezpieczeństwo Twojego systemu. ## Podsumowanie W protokole OIDC, tokeny odświeżania, tokeny dostępu i tokeny ID współpracują, aby zapewnić bezpieczne i płynne uwierzytelnienie użytkownika. - Tokeny odświeżania eliminują interwencję użytkownika w przypadku nowych tokenów dostępu. - Tokeny dostępu zapewniają autoryzację do dostępu do chronionych zasobów. - Tokeny ID zapewniają buforowane informacje o użytkowniku po stronie klienta, zwiększający wydajność. Zrozumienie roli i znaczenia tych tokenów jest kluczowe dla programistów implementujących uwierzytelnienie OIDC w ich aplikacjach. Wybierając Logto, programiści i firmy mogą wykorzystać pełny potencjał funkcji OIDC, integrować niezawodne i bezpieczne systemy uwierzytelniania, które chronią dane użytkowników i zapewniają płynne doświadczenia użytkownika. Spróbuj Logto Dziś