Этот блог стремится пролить свет на отношения между индикаторами ресурса OIDC и их ролью в получении токенов доступа.
Впредыдущей сессии, мы предоставили введение в протокол OpenID Connect (OIDC), токены обновления, токены доступа и идентификаторы токенов, необходимые компоненты для создания надежной аутентификации в вашем приложении. Однако вопросы все еще остаются в нашем сообществе, с одним повторяющимся запросом: "Почему мой токен доступа не является JWT?”
Этот блог стремится пролить свет на отношения между индикаторами ресурса OIDC и их ролью в получении токенов доступа для тех, кто впервые знакомится с этими концепциями, или даже для тех, кто нуждается в повторении.
Если вы знакомы с протоколом OAuth 2.0, то термин"ресурс" должен прозвучать знакомо. Поскольку OIDC основан на OAuth 2.0, он наследует эту же концепцию.
"Ресурс" или "защищенный ресурс" - это представление сущности, доступ к которой клиентское приложение хочет получить от имени аутентифицированного пользователя. Это может быть информация о пользователе, API сервера или любые другие данные, авторизованные вашим сервером.
Согласно протоколу, ресурс - это параметр в запросах на сервер авторизации. Это значение, представленное в виде абсолютного URI, например, https://my-company.com/api. Он выступает в качестве идентификатора ресурса, возможно соответствующего адресуемому по сети местоположению или даже уникальному, но выдуманному URI.
В Logto вы можете создать "API ресурс" через страницу "Admin Console → API resources". Вы можете обратиться к данной документации для получения дополнительной информации.
Формат токена доступа JWT выдается только в том случае, если при запросе токена доступа указан параметр "ресурс", и он несет набор утверждений, которые вы можете расшифровать и проверить, например, чтобы гарантировать целостность токена и права пользователя.
Этот "ресурс" становится одним из утверждений токена aud в JWT, указывающим предполагаемую аудиторию для токена. См. RFC-7519.
Таким образом, становится ясной следующая связь:
aud.aud и другие заявки, связанные с разрешениями, чтобы обеспечить безопасность запроса API.🤔 Но что, если клиент не указывает ресурс при запросе токена доступа?
В случае с Logto, если индикатор ресурса не указан при запросе токена доступа, сервер авторизации предполагает, что он предназначен для конечной точки OIDC /userinfo, и, таким образом, выдается непрозрачный токен доступа, который клиент может использовать позже для запроса профиля пользователя, такого как ID пользователя, имя, электронная почта и т.д., из конечной точки информации о пользователе OIDC.
В любом SDK Logto вы можете получить такой токен, если вызовете getAccessToken() или напрямую запросите конечную точку токена OIDC без указания параметра resource.
Обратите внимание, что этот непрозрачный токен доступа не подходит для запросов вашего собственного API-ресурса, так как нет способа его проверить без запроса сервера OIDC.
OIDC ресурсы определяют конкретные данные или услуги, к которым клиентское приложение хочет получить доступ от имени пользователя, с JWT-токенами доступа, служащими безопасным средством для этого доступа. Заявка "aud" в JWT-токенах доступа соответствует индикатору ресурса, помогая серверам при проверке разрешений при клиентских запросах.
В Logto непрозрачный токен доступа предназначен исключительно для извлечения информации о профиле пользователя из конечной точки информации о пользователе OIDC, в то время как клиенты могут запросить несколько токенов доступа, каждый из которых посвящен конкретному ресурсу.
Мы надеемся, что этот блог поможет развеять все сомнения и соединить точки для вас. Не стесняйтесь сообщить нам свои мысли.