Давайте подробнее рассмотрим перенаправление URI, так как это критический элемент безопасности в процессе аутентификации OIDC.
Переадресация URI, также известная как URL ответа, является критическим элементом безопасности в процессе аутентификации OIDC. Она указывает URL, по которому пользователи перенаправляются после успешной авторизации через поставщика OIDC. Более важно, это то место, где ваше приложение получает код авторизации, необходимый для получения токенов.
Посмотрите вики страницы Redirect URI для получения дополнительной информации.
Поток кода авторизации (определён в OAuth 2.0 RFC 6749, раздел 4.1) является основным методом аутентификации в OIDC. Он включает обмен кода авторизации на токен доступа и, при необходимости, обновляющий токен. Этот поток подходит для приложений, которые могут безопасно хранить клиентский секрет, таких как серверные веб-приложения.
Посмотрите вики страницы потока кода авторизации для получения дополнительной информации.
В потоке кода авторизации перенаправление URI является местом назначения, куда поставщик OIDC отправляет код авторизации после успешной аутентификации пользователя. Оно должно быть предварительно зарегистрировано у поставщика OIDC для обеспечения безопасности и предотвращения несанкционированных перенаправлений.
Вот как вы можете зарегистрировать ссылку для переадресации URI в Logto Console:
При инициировании входа в систему:
client_id, response_type, scope и redirect_uri.redirect_uri, включая код авторизации в виде параметра запроса.Поставщик OIDC проверяет redirect_uri на соответствие списку предварительно зарегистрированных URI. Если имеется несоответствие, будет возвращена ошибка invalid_redirect_uri, что повышает безопасность, предотвращая получение токенов неавторизованными конечными точками.
В реальных сценариях часто встречающейся рекомендуемой практикой является создание выделенной страницы "Callback" и связывание с маршрутизатором или глубокой ссылкой, которые позволяют прямой доступ извне. Эта ссылка должна использоваться как перенаправление URI.
Если у вас есть одностраничное веб-приложение, работающее на https://my-app.com, то обычно перенаправление URI будет указано как https://my-app.com/callback
Или, если это собственное мобильное приложение, то перенаправление URI обычно начинается с пользовательской схемы, например com.company://myapp/callback
Другие лучшие практики включают:
Чтобы обработать код авторизации, возвращенный вашему redirect_uri, выполните следующие шаги:
Извлечение кода авторизации: Получите параметр кода из строки запроса перенаправления URI.
Обмен кода авторизации на токены: Составьте POST-запрос к точке конечного действия токена поставщика OIDC, включая:
client_id: ID вашего приложения у поставщика OIDCcode: код авторизации, полученный из перенаправления URIcode_verifier: случайная строка, сгенерированная на клиентеredirect_uri: тот же URI, что использовался в запросе авторизацииgrant_type: тип доступа, обычно authorization_codeLogto SDK - это комплект для разработки, написанный на определённом языке программирования или фреймворке, например, Logto React SDK, Next.js SDK и Swift SDK. Использование SDK может значительно упростить процесс, просто вызвав одну или две функции.
Вот пример компонента React "Callback" с использованием официального React SDK Logto:
Руководства по интеграции SDK можно найти в документации по быстрой настройке Logto.
Понимание перенаправлений URI в OIDC с потоком кода авторизации имеет решающее значение для обеспечения безопасности и оптимизации процессов аутентификации. Путём регистрации доверенных перенаправлений URI и эффективной обработки обратных вызовов при входе вы можете обеспечить бесшовный и безопасный опыт для своих пользователей, в то время как упрощаете свои усилия по разработке с помощью Logto SDK.