基于Node.js搭建独立OpenID授权服务器的配置咨询

一、基础配置与OpenID授权码工作流指引 #

核心初始化配置 #

先搭建最小可用的provider实例，核心配置包含issuer地址、客户端信息、用户账号查找逻辑：

const { Provider } = require('oidc-provider');

const oidc = new Provider('https://your-issuer-domain.com', {
  clients: [
    {
      client_id: 'your-client-id',
      client_secret: 'your-client-secret',
      redirect_uris: ['https://your-client-app.com/callback'],
      response_types: ['code'],
      grant_types: ['authorization_code'],
      scope: 'openid profile email custom_scope'
    }
  ],
  // 内存存储仅用于测试，生产环境需替换为MongoDB/PostgreSQL等持久化存储
  adapter: require('./your-adapter'),
  findAccount: async (ctx, id) => {
    // 实现从数据库获取用户信息的逻辑
    const user = await getUserById(id);
    return {
      accountId: id,
      claims: async (use, scope) => {
        // 先返回基础声明，后续扩展自定义声明
        return {
          sub: id,
          name: user.name,
          email: user.email
        };
      }
    };
  }
});

// 启动服务
oidc.listen(3000, () => {
  console.log('OIDC Provider running on port 3000');
});

授权码流程关键节点配置 #

1. 授权端点：默认启用交互模式，用户访问/auth端点时会触发登录/授权页面
2. 令牌端点：无需额外配置，provider会自动处理授权码兑换令牌的逻辑
3. 用户信息端点：通过findAccount返回的claims自动填充响应，自定义声明会在这里返回给客户端

二、实现自定义声明（Custom Claims） #

步骤1：声明自定义字段并关联Scope #

修改findAccount中的claims方法，添加自定义字段，通过自定义scope控制声明返回：

findAccount: async (ctx, id) => {
  const user = await getUserById(id);
  return {
    accountId: id,
    claims: async (use, scope) => {
      const baseClaims = {
        sub: id,
        name: user.name,
        email: user.email
      };
      // 若请求包含custom_scope，则添加自定义声明
      if (scope.includes('custom_scope')) {
        return {
          ...baseClaims,
          nickname: user.nickname,
          department: user.department,
          employee_id: user.employee_id
        };
      }
      return baseClaims;
    }
  };
}

步骤2：客户端启用自定义Scope #

确保客户端的scope配置包含自定义的custom_scope，这样客户端请求授权时就能获取自定义声明。

步骤3：验证自定义声明返回 #

客户端获取令牌后，调用/userinfo端点，会收到包含自定义字段的响应：

{
  "sub": "user123",
  "name": "John Doe",
  "email": "john@example.com",
  "nickname": "Johnny",
  "department": "Engineering",
  "employee_id": "EMP-456"
}

三、支持登录提示（Login Hint） #

步骤1：在登录交互中处理login_hint参数 #

修改provider的interactions配置，渲染登录页面时获取login_hint参数并预填到表单：

const oidc = new Provider('https://your-issuer-domain.com', {
  // 其他配置...
  interactions: {
    // 自定义登录页面渲染逻辑
    login: async (ctx, interaction) => {
      // 从交互参数中获取login_hint
      const loginHint = interaction.params.login_hint;
      // 渲染登录页面时传递login_hint用于预填
      await ctx.render('login', {
        client: await oidc.Client.find(interaction.clientId),
        loginHint,
        interaction: interaction.toJSON(),
      });
    }
  }
});

步骤2：登录提交时验证Login Hint #

在登录提交的处理逻辑中，可根据login_hint快速定位用户：

// 登录路由处理函数示例
app.post('/login', async (ctx) => {
  const { loginHint, username, password } = ctx.request.body;
  const { uid } = ctx.oidc.interactionDetails();
  
  // 用loginHint快速定位用户（比如作为邮箱）
  const user = await getUserByEmail(loginHint || username);
  if (!user || !validatePassword(password, user.passwordHash)) {
    return ctx.render('login', { error: 'Invalid credentials' });
  }
  
  // 告知provider认证完成
  await ctx.oidc.interactionFinished(uid, {
    login: {
      accountId: user.id,
    },
  });
});

步骤3：客户端传递Login Hint #

客户端发起授权请求时，在URL中添加login_hint参数：

https://your-issuer-domain.com/auth?
client_id=your-client-id
&redirect_uri=https://your-client-app.com/callback
&response_type=code
&scope=openid profile
&login_hint=john@example.com

内容的提问来源于stack exchange，提问作者joshua andres blanco jerez