SSO用户统一登录接入文档

1. 目的

本文档主要目的是为用户权限系统进行详细设计和功能模块说明，面向读者是需要接入用户权限系统的后端开发者和开发用户权限系统的开发者。

2. 系统详细设计

交互流程参见下图

2.1 认证中心相关API

1-三方应用检测未登录跳转sso

请求说明

请求header

请求参数

请求参数示例：

/auth?client_id=10052&redirect_uri={三方应用回调}&refer={三方应用页面原地址}&response_type=code&
scope=openid+email+groups+profile+offline_access
&state=oauth

    

返回值

sso登录界面；涉及登录操作的中间302跳转处理如下；登录成功浏览器前端自动根据sso服务端返回的json(状态码302和跳转链接)跳转 三方应用回调

中间处理三选一，1是目前登录页面直接使用的。

1. /auth/{connector}/login?state={auth requestID}&username=&password= # POST application/x-www-form-urlencoded 验证密码并生成离线会话并在sso域名种下cookie和返回数据 {"code":302,"msg":"","data":{"location":"XXXX?code={授权码}&state=oauth&refer="}} 或者 {"code":302,"location":"XXXX?code={授权码}&state=oauth&refer="} 浏览器前端进行跳转

2. /callback/{connector}?state={auth requestID} # GET 根据已登录的auth request生成离线会话
或者
   /callback/{connector}?RelayState={auth requestID} # POST application/x-www-form-urlencoded 根据已登录的auth request生成离线会话

# 返回数据 {"code":302,"location":"XXXX?code={授权码}&state=oauth&refer="}

3. /approval?req={auth requestID} # GET 根据已登录的auth request获取302跳转[三方应用回调](#2-登录成功的回调)
或者 
   /approval?req={auth requestID}&approval=approve # POST 根据已登录的auth request获取302跳转[三方应用回调](#2-登录成功的回调)

# 返回数据 {"code":302,"location":"XXXX?code={授权码}&state=oauth&refer="}

    

2-登录成功的回调

请求说明

请求header

请求参数

请求参数示例：

        code={授权码}&state=oauth&refer=XXXX

    

返回值

refer存在数据，则重定向到该地址，不存在则自己决定跳入三方应用域名的页面；并向三方应用域名种cookie。

3-获取token相关

请求说明

请求header

请求参数

请求参数示例：

授权码模式

        grant_type=authorization_code&code=&redirect_uri=

    

refresh模式

        grant_type=refresh_token&scope=&refresh_token=

    

password模式

        grant_type=password&nonce=&scope=&username=&password=

    

返回值

返回值示例：

{
    "access_token":"",
    "token_type":"",
    "expires_in":3600,
    "refresh_token":"",
    "id_token":"XXXX.YYYYYYY.ZZZZZ",
}

    

JWT解析id_token

func parseJWT(idToken string) ([]byte, error) {
    parts := strings.Split(idToken, ".")
    if len(parts) < 2 {
        return nil, fmt.Errorf("oidc: malformed jwt, expected 3 parts got %d", len(parts))
    }
    payload, err := base64.RawURLEncoding.DecodeString(parts[1])
    if err != nil {
        return nil, fmt.Errorf("oidc: malformed jwt payload: %v", err)
    }
    println("raw:", string(payload))
    return payload, nil
}

parseJWT("XXXX.YYYYYYY.ZZZZZ")

    

解析结果取用token_id给 checklogin接口使用，exp是过期时间戳，iat是颁发时间戳

{
  "iss": "https://portal.dtwin.tencent.com/sso",
  "sub": "XXXXXXXXXXXXXXXXXXXXXXXX",
  "aud": [
    "XXXXX"
  ],
  "exp": 1688553916,
  "iat": 1688467516,
  "at_hash": "XXXXXXXXXXXXXXX",
  "email": "XXXXXXX@gmail.com",
  "email_verified": false,
  "name": "XXXXXXXXXXXXXX",
  "preferred_username": "",
  "federated_claims": null,
  "token_id": "XXXXXXXXXXXXXXXXXX",
  "refer": "",
  "userid": "XXXXXXXXXXXXXXXXXX",
  "usertype": "2",
  "remember": "true",
  "remind": false
}

    

4-checklogin

请求说明

请求header

请求参数

请求参数示例：

        code={授权码}&clientId=10234

    

返回值

返回值示例：

{
    "username":"",
    "name":"",
    "tokenId":"",
    "userId":"",
    "userType":"",
    "roles":[{
        "roleId":"",
        "roleName":"",
    }],
    "funcRes":[{
        "resId":"",
        "resName":"",
        "parentId":"",
        "resType":"",
        "resKey":"",
        "resUrl":"",
        "resOrder":0,
        "resSubKey":"",
        "iconPath":"",
        "serviceId":"",
    }],
    "tenantId":"",
    "teamId":"",
}

    

5-退出登录

请求说明

请求header

请求参数

请求参数示例：

签名模式

        code=&clientId=

    

返回值

返回值示例：

{
    "msg":"success",
}