使用 Didit 实现 OIDC：安全的 SSO 与用户身份验证

在当今的安全环境中，强大的用户身份验证至关重要。OpenID Connect (OIDC) 已成为身份联合和单点登录 (SSO) 的行业标准，提供了一种安全且可互操作的方式来管理跨多个应用程序的用户访问。Didit 的身份平台完全支持 OIDC，使开发人员能够轻松地将我们强大的身份验证能力集成到他们现有的应用程序中。本指南将指导您完成使用 Didit 实现 OIDC 的过程，涵盖架构注意事项、代码示例和最佳实践。

关键要点 1： OIDC 通过允许应用程序信任中央身份提供者（如 Didit）来验证用户凭据，从而简化了用户身份验证。

关键要点 2： 将 Didit 与 OIDC 集成可以提高安全性，通过在标准身份验证流程中添加身份验证步骤（例如面部匹配或文档验证）来提高安全性。

关键要点 3： Didit 的 OIDC 实现支持各种授权类型，为不同的应用程序架构（Web、移动、原生）提供灵活性。

关键要点 4： 利用 Didit 的 OIDC 功能可以大大减轻管理用户凭据的负担，尤其对于需要高信任度的应用程序而言。

了解与 Didit 结合的 OIDC 流程

典型的 OIDC 流程涉及几个步骤。首先，应用程序（依赖方）将用户重定向到 Didit（身份提供者）进行身份验证。Didit 向用户呈现适当的身份验证挑战——这可能是密码登录、多因素身份验证或 Didit 特定的身份验证流程。身份验证成功后，Didit 会将用户重定向回应用程序，并附带一个 ID 令牌，其中包含有关用户身份的信息。此 ID 令牌由 Didit 进行数字签名，以确保其真实性。

Didit 的 OIDC 实现通过允许您在颁发 ID 令牌之前插入身份验证步骤来扩展此标准流程。例如，您可以配置一个流程，要求用户在访问敏感应用程序之前完成面部匹配验证。这增加了一层额外的安全性，以防止帐户接管和欺诈性访问。

设置您的 Didit OIDC 应用程序

首先，您需要在 Didit Business Console 中创建一个 OIDC 应用程序。这涉及配置以下内容：

• 重定向 URI： Didit 在身份验证后将用户重定向到的 URL。
• 客户端 ID 和客户端密钥： 用于将您的应用程序与 Didit 进行身份验证的凭据。请将客户端密钥保密。
• 范围： 您的应用程序从 Didit 请求的权限（例如 openid、profile、email、didit_verification）。
• 授权类型： 您的应用程序支持的 OIDC 授权类型（例如，授权码、隐式）。

Didit 支持以下 OIDC 授权类型：

• 授权码： 推荐用于 Web 应用程序，提供增强的安全性。
• 隐式： 适用于单页应用程序 (SPA)，但安全性低于授权码授权。
• 客户端凭据： 用于机器到机器的通信。

与您的应用程序集成

集成过程取决于您的应用程序架构和所选授权类型。以下是使用 Node.js 应用程序和 openid-client 库中使用授权码授权的简化示例：

const { AuthorizationCode } = require('openid-client');

const client = new AuthorizationCode({
  client_id: 'YOUR_CLIENT_ID',
  client_secret: 'YOUR_CLIENT_SECRET',
  discovery_url: 'https://auth.didit.me/.well-known/openid-configuration',
  redirect_uri: 'YOUR_REDIRECT_URI'
});

// 启动授权流程
async function authorize() {
  const authUrl = await client.getAuthorizationUrl();
  console.log('导航到：', authUrl);
}

// 处理来自 Didit 的回调
async function handleCallback(code) {
  const tokenSet = await client.handleCallback(code);
  console.log('ID 令牌：', tokenSet.id_token);
  console.log('访问令牌：', tokenSet.access_token);
}

请务必用您的实际 Didit 应用程序凭据替换占位符。您还需要验证 ID 令牌的签名以确保其真实性。

在 OIDC 流程中利用 Didit 验证

要集成 Didit 的身份验证，您可以请求 didit_verification 范围。然后，Didit 将要求用户在颁发 ID 令牌之前完成验证过程（例如，面部匹配、文档验证）。验证结果可以包含在 ID 令牌中作为声明，允许您的应用程序根据验证结果做出访问控制决策。

Didit 如何提供帮助

Didit 通过提供完全符合规范且安全的身份提供者来简化 OIDC 集成。我们处理身份管理的复杂性，让您可以专注于构建您的应用程序。使用 Didit，您可以受益于：

• 减少开发工作量： 预构建的 OIDC 支持和全面的文档。
• 增强安全性： 与 Didit 强大的身份验证能力集成。
• 可扩展性： Didit 的平台旨在处理大量的身份验证请求。
• 合规性： SOC 2 Type II 和 GDPR 合规性。
• 改善用户体验： 无摩擦的身份验证，并可选择进行身份验证。

准备好开始了吗？

准备好使用 OIDC 和 Didit 增强您的应用程序的安全性了吗？

• 创建 Didit Business 帐户
• 查看我们的 OIDC 文档
• 请求演示