无跳转使用OAuth2/OIDC实现SSO登录是否可行？及相关实现疑问

嘿，我来帮你理清楚这个问题！你说的没错，OIDC的标准授权码流程确实需要跳转到身份提供商（也就是你的OIDC服务器）去完成登录——这其实是为了安全，避免用户密码在第三方页面输入。但如果咱的PHP网站想保留自己的登录表单、不做跳转，也有可行的方案，下面给你拆解清楚：

一、最安全的无跳转实现方式：后端代理凭证请求 #

这是推荐的方案，核心思路是前端只负责收集用户输入的账号密码，由PHP后端和OIDC服务器做交互，全程前端不会跳转。具体步骤是：

1. 你的PHP网站展示自己的登录表单，用户输入用户名和密码后，提交到网站的后端接口（比如/api/login）
2. 后端拿到凭证后，构造请求调用OIDC服务器的/token端点，请求参数如下：

   POST /token HTTP/1.1
   Host: your-oidc-server.com
   Content-Type: application/x-www-form-urlencoded
   
   grant_type=password
   &username=用户输入的用户名
   &password=用户输入的密码
   &client_id=你的PHP网站的OIDC客户端ID
   &client_secret=你的PHP网站的OIDC客户端密钥
   &scope=openid email profile  # 按需添加需要的 scope
   

3. OIDC服务器验证凭证通过后，会返回id_token、access_token、refresh_token等内容
4. 你的PHP后端需要严格验证id_token的合法性：检查签名是否正确、iss（签发者）是否是你的OIDC服务器、aud（受众）是否匹配你的客户端ID、exp（过期时间）是否有效等
5. 验证通过后，后端可以创建网站自己的用户会话（比如设置Cookie），或者把Token加密后存在前端，完成登录流程

二、关于社交登录的处理 #

你提到网站和Android应用都有Twitter、Facebook等社交登录按钮，这里要注意：社交登录本身涉及第三方平台，跳转是不可避免的（第三方平台不会允许你在自己的表单里直接收集他们的用户凭证）。不过可以通过OIDC服务器统一处理，减少你的对接成本：

• 让你的OIDC服务器预先对接好Twitter、Facebook等身份提供商
• 网站上的社交登录按钮，直接跳转到OIDC服务器的社交登录入口（比如your-oidc-server.com/auth/twitter），而不是直接跳转到Twitter
• 用户在OIDC服务器完成社交授权后，OIDC服务器会按照OIDC流程返回Token给你的PHP网站，后续流程和普通登录一致
• 这种方式的好处是：你的网站和Android应用只需要对接OIDC服务器，不用分别对接每个社交平台，维护成本低

三、Android应用的OIDC实现建议 #

对于Android应用，推荐使用授权码流程+PKCE，这是移动应用的最佳安全实践：

• 不需要存储客户端密钥（移动应用很难安全存储密钥），用PKCE（Proof Key for Code Exchange）来防止授权码被劫持
• 应用内可以用WebView或者系统浏览器打开OIDC服务器的登录页面，完成授权后回调到应用，获取Token
• 同样，社交登录也可以通过OIDC服务器统一处理，应用只需要对接OIDC即可

四、重要的安全提醒 #

• 不管用哪种方案，全程必须使用HTTPS，避免凭证或Token在传输过程中被窃取
• 如果采用后端代理的密码凭证流程，只适合你完全信任的客户端（比如自己的PHP网站），绝对不能给第三方应用使用
• 永远不要跳过id_token的验证步骤，这是防止伪造登录的关键
• 社交登录的跳转虽然不可避免，但可以让OIDC服务器的登录页面和你的网站/应用风格保持一致，提升用户体验

内容的提问来源于stack exchange，提问作者Dannyboy