Accueil > OpenID Connect OAuth Serveur dédié > Développer > OpenID Connect > OpenID Connect : Exemples complets du flux d’Autorisation via un code puis (...)

OpenID Connect : Exemples complets du flux d’Autorisation via un code puis requête UserInfo

Les scripts testopenid testent le flux d’Autorisation via un code (Authorization Code Flow), et enchaînent sur une demande UserInfo, en ne laissant passer aucune erreur : tous les cas non conformes répertoriés dans cette documentation donneront lieu à l’affichage d’un message d’erreur.

Les deux méthodes de validation du JWT sont illustrées : Validation locale, Introspection.

Ces scripts ne sont pas conçu pour une application en production. Cependant, ils fournissent un flux complet que vous pourrez adapter au besoin de votre application cliente. En particulier, il serait opportun d’utiliser les fonctions d’affichage et de gestion des erreurs du système de l’application cliente.

Notez que ces scripts jouent le rôle de Point d’extrémité de redirection, ou URI de retour à l’application cliente (Redirection Endpoint). Voyez : OAuth 2.0 : Points d’extrémité.

 

Première version : Validation locale du JWT

La vérification du jeton JWT est effectuée localement par la fonction decode_jwt(), qui est décrite dans cet article : JSON Web Token (JWT).

PHP

  1. <?php
  2. /*
  3. testopenid3.php
  4.  
  5. Verbose Test of OpenID Connect Authorization Code Flow
  6.  
  7. This code is meant for testing, not for production !
  8.  
  9. At the authentification step, if you don't want to create an account
  10. on OAuthSD, use this credentials :
  11. login = bebert
  12. password = 012345678
  13.  
  14. Author :
  15. Bertrand Degoy https://degoy.com
  16. Credits :
  17. bschaffer https://github.com/bshaffer/oauth2-server-php
  18.  
  19. Licence : MIT licence
  20. Copyright (c) 2016 - DnC
  21.  
  22. */
  23.  
  24. //***** Configuration *****
  25.  
  26. /* Client's Public Key
  27. Warning : no double-quote, no indent!
  28. */
  29. define ('PUBLIC_KEY',
  30. '-----BEGIN PUBLIC KEY-----
  31. MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEA2dCHybdu/1pDk5BHSxMA
  32. nMGygm8lm6s2hnru3GPH2JyMxrd92dC7TljI21P+egsnmjsUzaS1IWZPvIFvEOwO
  33. 5wP8gFyNm8fFkXSmrAEHXLFJ6WufF+f5Fg3pU5GDPjT5Z7ccWab5NM9w7ec433J1
  34. XtePh2QjUbibu4rpwYh8ADODAJkyIRMhhYXqK0n8GgojkcgEZ172sB/NdbcNALPy
  35. Qg0lMd3/AKxavTSSm9LslEyP+ZwBvTENzhoeQV2V7ZQ5xIZs6VBgrnsnYbgfbdQ+
  36. Dbk2FRbtB2+g4rKbN04JheaZyFORseoigVJ6asQ5lUS/3cMIUj2C+VBj4xAyXp00
  37. TMH8GtiGIQkVYjBd/Lsza11YwBOA8YYvDnTs/kzy9CqHjETdIHUlNqeaFbHSYTST
  38. rUl9QxBN+JAVGs9YY9MWoiVsGex4MsTwf3PanKIlavKXeFSwppwMMvmdt+yrGraH
  39. UKv5QP5NMbOu6/BghbuQZP4MoUnRxQxt8PN2e5M2b358C3tctgRQhRGBWaYw8B5J
  40. /drz5VA8s14NkG162lBW7PLYhLqm8u2hpqIlOCVndwW2W+bCkXrfjj3jBHe4yauQ
  41. vyQWcv3KaBV2HsUoY2sCAaC5nB46SV0UkAycX8xyqOsGJA64m2S+ntOQkB9R2x2y
  42. 4DjfJHTRTe2uXsaiYFahoLECAwEAAQ==
  43. -----END PUBLIC KEY-----
  44. ');
  45.  
  46. $client_id = 'testopenid';
  47. $client_secret = 'thesecret';
  48.  
  49. $authorization_endpoint = 'https://oa.dnc.global/authorize';
  50. $token_endpoint = 'https://oa.dnc.global/token';
  51. $userinfo_endpoint = 'https://oa.dnc.global/userinfo';
  52.  
  53. //*** End of configuration ***
  54.  
  55. ini_set('display_errors', 1);
  56.  
  57. // Set session
  58. session_save_path('/home/oadnc/sessions_oauthsd');          
  59. session_name('oauthsd');
  61.  
  62.  
  63. if ( !isset($_GET['error']) ) {
  64.  
  65.     if ( isset($_GET['code']) ) {
  66.  
  67.         if ( isset($_GET['state']) ) {
  68.  
  69.             // Check state
  70.             if ( $_GET['state'] == $_SESSION['state'] ) {
  71.            
  72.                 // Step 2. Token request
  73.  
  74.                 $code = $_GET['code'];
  75.  
  76.                 $data = array(
  77.                     'grant_type' => 'authorization_code',
  78.                     'code' => $code,
  79.                 );
  80.                 $h = curl_init($token_endpoint);
  81.                 curl_setopt($h, CURLOPT_RETURNTRANSFER, true);
  82.                 curl_setopt($h, CURLOPT_TIMEOUT, 10);
  83.                 curl_setopt($h, CURLOPT_USERPWD, "{$client_id}:{$client_secret}");
  84.                 curl_setopt($h, CURLOPT_POST, true);
  85.                 curl_setopt($h, CURLOPT_HTTPHEADER,
  86.                             array('Content-Type: application/x-www-form-urlencoded'));
  87.                 curl_setopt($h, CURLOPT_POSTFIELDS, http_build_query($data));
  88.                 //curl_setopt($h, CURLOPT_SSL_VERIFYPEER, false);
  89.  
  90.                 $res = curl_exec($h);
  91.  
  92.                 if ($res)  {
  93.  
  94.                     curl_close($h);
  95.                     $res = json_decode($res, true);
  96.  
  97.                     if  ( empty($res['error'] ) ) {
  98.  
  99.                         // Validate signed JWT token using client's public key
  100.                         if ( $payload = decode_jwt($res['id_token'],
  101.                                                         PUBLIC_KEY, 'RS256') ) {
  102.  
  103.                             // If Token Response is valid goto step 3
  104.                             // Step 3. Get UserInfo
  105.                             $access_token = $res['access_token'];
  106.  
  107.                             /* Auth Header Methode
  108.                             $headr = array();
  109.                             $headr[] = 'Authorization: Bearer ' . $access_token;
  110.                             $h = curl_init();
  111.                             curl_setopt($h, CURLOPT_URL, $userinfo_endpoint);
  112.                             curl_setopt($h, CURLOPT_RETURNTRANSFER, true);
  113.                             curl_setopt($h, CURLOPT_TIMEOUT, 10);
  114.                             curl_setopt($h, CURLOPT_HTTPHEADER, $headr);
  115.                             //curl_setopt($h, CURLOPT_SSL_VERIFYPEER, false);
  116.                             //*/
  117.  
  118.                             //* Post Methode  
  119.                             $data2 = array(
  120.                                 'access_token' => $access_token,
  121.                                 'state' => $state,
  122.                             );
  123.                             $h = curl_init($userinfo_endpoint);
  124.                             curl_setopt($h, CURLOPT_RETURNTRANSFER, true);
  125.                             curl_setopt($h, CURLOPT_TIMEOUT, 10);
  126.                             curl_setopt($h, CURLOPT_POST, true);
  127.                             curl_setopt($h, CURLOPT_HTTPHEADER,
  128.                                    array('Content-Type:
  129.                                    application/x-www-form-urlencoded'));  
  130.                             curl_setopt($h, CURLOPT_POSTFIELDS,
  131.                                   http_build_query($data2));
  132.                             //*/
  133.  
  134.                             $res = curl_exec($h);
  135.  
  136.                             if ( $res ) {
  137.  
  138.                                 curl_close($h);
  139.                                 $res = json_decode($res, true);
  140.  
  141.                                 if  ( empty($res['error'] ) ) {
  142.  
  143.                                     // Check User ID
  144.                                     if ( $payload['sub'] == $res['sub'] ) {
  145.  
  146.                                         // Everithing Ok !
  147.                                         echo "UserInfo Response:\n";
  148.                                         print_r($res);
  149.  
  150.                                     } else  
  151.                                         // User of ID Token doesn't match UserInfo's one
  152.                                         exit('User mismatch, got : ' . $res['sub']);
  153.  
  154.                                 } else
  155.                                     // Token request error
  156.                                     exit ('UserInfo Request error : ' . $res['error'] . ' : '
  157.                                                      . $res['error_description']);
  158.  
  159.                             } else {
  160.                                 // Curl error during UserInfo request
  161.                                 exit('UserInfo Request error : ' . curl_error($h));
  162.                                 curl_close($h);
  163.                             }
  164.  
  165.                         } else
  166.                             // Invalid id_token
  167.                             exit('Error : Invalid ID Token');
  168.  
  169.                     } else {
  170.                         // Token request error
  171.                         exit ('Token request error : ' . $res['error'] . ' : '
  172.                                               . $res['error_description']);
  173.                     }
  174.  
  175.                 } else {
  176.                     // Curl error during Token request
  177.                     exit('Token Request error : ' . curl_error($h));
  178.                     curl_close($h);
  179.                 }
  180.            
  181.             } else
  182.                 // Wrong State
  183.                 exit("Authorization error : incoherent State");
  184.  
  185.         } else
  186.             // Missing State
  187.             exit("Authorization error : missing State");
  188.            
  189.     } else {
  190.  
  191.         // Step 1. Authorization Code request
  192.  
  193.         @session_regenerate_id();
  194.         $state = session_id();
  195.         $_SESSION['state'] = $state;
  196.        
  197.         $data = array(
  198.             'response_type' => 'code',
  199.             'client_id' => $client_id,
  200.             'scope' => 'openid profile',
  201.             'state' => $state,    
  202.         );
  203.  
  204.         $authorization_endpoint .= '?' . http_build_query($data);
  205.         header('Location: ' . $authorization_endpoint);
  206.         exit();
  207.     }
  208.  
  209. } else {
  210.     // Authorization error
  211.     exit("Authorization error : {$_GET['error']} : {$_GET['error_description']}");
  212. }

Télécharger

Notons que, dans cet exemple, nous avons intégré la clé publique dans le code. Une alternative consiste à se la procurer auprès d’AuthSD, voyez : API OpenId Connect : Point d’extrémité d’informations sur les clefs (Keys Endpoint). Mais la meilleure pratique est de valider le jeton par introspection.

Lancer le script : https://oa.dnc.global/oidc/tests/te...

Lors de la demande de vos login et mot de passe, si vous ne voulez pas vous inscrire sur ce serveur en tant qu’utilisateur, vous pourrez utiliser les identifiants suivants :
E-mail or pseudo : bebert
Password : 012345678

Voici la page de login générée par le serveur OAuthSD :

 

A propos du scope sli : vous noterez que le contrôleur Authorize est appelé avec le scope sli, alors que ce n’est pas le cas dans l’exemple suivant. Cela permet d’illustrer le fonctionnement de la Connexion unique (Single Login In, SLI).



Deuxième version : Validation du JWT par Introspection

La vérification du jeton JWT est effectuée par la méthode décrite dans cet article : API Open ID Connect : Introspection (Introspection Endpoint).

PHP

  1. <?php
  2. /*
  3. testopenid4.php
  4.  
  5. Verbose Test of OpenID Connect JWT Introspection
  6.  
  7. This code is meant for testing, not for production !
  8.  
  9. For the authentification step, if you don't want to create an account
  10. on OAuthSD, use this credentials :
  11. login = bebert
  12. password = 012345678
  13.  
  14. Author :
  15. Bertrand Degoy https://degoy.com
  16. Credits :
  17. bschaffer https://github.com/bshaffer/oauth2-server-php
  18.  
  19. Licence : MIT licence
  20. Copyright (c) 2016 - DnC
  21.  
  22. */
  23.  
  24. $client_id = 'testopenid4';
  25. $client_secret = 'thesecret';
  26.  
  27. $authorization_endpoint = 'https://oa.dnc.global/authorize';
  28. $token_endpoint = 'https://oa.dnc.global/token';
  29. $introspection_endpoint = 'https://oa.dnc.global/introspect';
  30. $userinfo_endpoint = 'https://oa.dnc.global/userinfo';
  31.  
  32. //*** End of configuration ***
  33.  
  34. ini_set('display_errors', 1);
  35.  
  36. // Set session
  37. session_save_path('/home/oadnc/sessions_oauthsd');          
  38. session_name('oauthsd');
  40.  
  41.  
  42. if ( !isset($_GET['error']) ) {
  43.  
  44.     if ( isset($_GET['code']) ) {
  45.  
  46.         if ( isset($_GET['state']) ) {
  47.  
  48.             // Check state
  49.             if ( $_GET['state'] == $_SESSION['state'] ) {
  50.  
  51.                 // Step 2. Token request
  52.  
  53.                 $code = $_GET['code'];
  54.  
  55.                 $data = array(
  56.                     'grant_type' => 'authorization_code',
  57.                     'code' => $code,
  58.                 );
  59.                 $h = curl_init($token_endpoint);
  60.                 curl_setopt($h, CURLOPT_RETURNTRANSFER, true);
  61.                 curl_setopt($h, CURLOPT_TIMEOUT, 10);
  62.                 curl_setopt($h, CURLOPT_USERPWD, "{$client_id}:{$client_secret}");
  63.                 curl_setopt($h, CURLOPT_POST, true);
  64.                 curl_setopt($h, CURLOPT_HTTPHEADER, array('Content-Type:
  65.                            application/x-www-form-urlencoded'));
  66.                 curl_setopt($h, CURLOPT_POSTFIELDS, http_build_query($data));
  67.                 //curl_setopt($h, CURLOPT_SSL_VERIFYPEER, false);
  68.  
  69.                 $res = curl_exec($h);
  70.  
  71.                 if ( is_array(json_decode($res, true) ) ) {
  72.  
  73.                     curl_close($h);
  74.                     $res = json_decode($res, true);
  75.                    
  76.                     $access_token = $res['access_token'];
  77.  
  78.                     if  ( empty($res['error'] ) ) {
  79.  
  80.                         // Validate signed JWT token using introspection
  81.                         //* Post Methode  
  82.                         $data1 = array(
  83.                             'token' => $res['id_token'],
  84.                         );
  85.                         $h = curl_init($introspection_endpoint);
  86.                         curl_setopt($h, CURLOPT_RETURNTRANSFER, true);
  87.                         curl_setopt($h, CURLOPT_TIMEOUT, 10);
  88.                         curl_setopt($h, CURLOPT_POST, true);
  89.                         curl_setopt($h, CURLOPT_HTTPHEADER, array('Content-Type:
  90.                                  application/x-www-form-urlencoded'));  
  91.                         curl_setopt($h, CURLOPT_POSTFIELDS, http_build_query($data1));
  92.                         //*/
  93.  
  94.                         $res = curl_exec($h);
  95.  
  96.                         if ( is_array(json_decode($res, true) ) ) {
  97.  
  98.                             curl_close($h);
  99.                             $jwt = json_decode($res, true);
  100.  
  101.                             if  ( empty($jwt['error'] ) ) {
  102.  
  103.                                 if ( $jwt['active'] == 'true' ) {
  104.  
  105.                                     // If Token Response is valid goto step 3
  106.                                     // Step 3. Get UserInfo
  107.  
  108.                                     /* Auth Header Methode
  109.                                     $headr = array();
  110.                                     $headr[] = 'Authorization: Bearer ' . $access_token;
  111.                                     $h = curl_init();
  112.                                     curl_setopt($h, CURLOPT_URL, $userinfo_endpoint);
  113.                                     curl_setopt($h, CURLOPT_RETURNTRANSFER, true);
  114.                                     curl_setopt($h, CURLOPT_TIMEOUT, 10);
  115.                                     curl_setopt($h, CURLOPT_HTTPHEADER, $headr);
  116.                                     //curl_setopt($h, CURLOPT_SSL_VERIFYPEER, false);
  117.                                     //*/
  118.  
  119.                                     //* Post Methode  
  120.                                     $data2 = array(
  121.                                         'access_token' => $access_token,
  122.                                     );
  123.                                     $h = curl_init($userinfo_endpoint);
  124.                                     curl_setopt($h, CURLOPT_RETURNTRANSFER, true);
  125.                                     curl_setopt($h, CURLOPT_TIMEOUT, 10);
  126.                                     curl_setopt($h, CURLOPT_POST, true);
  127.                                     curl_setopt($h, CURLOPT_HTTPHEADER, array('Content-Type:
  128.                                                application/x-www-form-urlencoded'));    
  129.                                     curl_setopt($h, CURLOPT_POSTFIELDS,
  130.                                                      http_build_query($data2));
  131.                                     //*/
  132.  
  133.                                     $res = curl_exec($h);
  134.  
  135.                                     if ( is_array(json_decode($res, true) ) ) {
  136.  
  137.                                         curl_close($h);
  138.                                         $res = json_decode($res, true);
  139.  
  140.                                         if  ( empty($res['error'] ) ) {
  141.  
  142.                                             // Check User ID
  143.                                             if ( $jwt['sub'] == $res['sub'] ) {
  144.  
  145.                                                 // Everithing Ok !
  146.                                                 echo "UserInfo Response:\n";
  147.                                                 print_r($res);
  148.  
  149.                                             } else  
  150.                                                 // User of ID Token doesn't match UserInfo's one
  151.                                                 exit('User mismatch, got : ' . $res['sub']);
  152.  
  153.                                         } else
  154.                                             // Token request error
  155.                                             exit ('UserInfo Request error : ' . $res['error'] . ' : '
  156.                                                             . $res['error_description']);
  157.  
  158.                                     } else {
  159.                                         if ( !empty($res) ) {
  160.                                             // script error ?
  161.                                             exit ('UserInfo script error : ' . $res);
  162.                                         } else {
  163.                                             // Curl error during UserInfo request
  164.                                             $error = curl_error($h);
  165.                                             curl_close($h);
  166.                                             exit ('UserInfo request Curl error : ' . $error );
  167.                                         }
  168.                                     }
  169.  
  170.                                 } else
  171.                                     // JWT is inactive
  172.                                     exit('Error : Invactive ID Token');
  173.  
  174.                             } else
  175.                                 // Invalid id_token
  176.                                 exit('Error : Invalid ID Token');
  177.  
  178.                         } else {
  179.                             if ( !empty($res) ) {
  180.                                 // script error ?
  181.                                 exit ('Introspection script error : ' . $res);
  182.                             } else {
  183.                                 // Curl error during Introspection request
  184.                                 $error = curl_error($h);
  185.                                 curl_close($h);
  186.                                 exit ('Introspection request Curl error : ' . $error );
  187.                             }
  188.                         }
  189.  
  190.                     } else {
  191.                         // Token request error
  192.                         exit ('Token request error : ' . $res['error'] . ' : '
  193.                                          . $res['error_description']);
  194.                     }
  195.  
  196.                 } else {
  197.                     if ( !empty($res) ) {
  198.                         // script error ?
  199.                         exit ('Token script error : ' . $res);
  200.                     } else {
  201.                         // Curl error during Token request
  202.                         $error = curl_error($h);
  203.                         curl_close($h);
  204.                         exit ('Token request Curl error : ' . $error );
  205.                     }
  206.                 }
  207.  
  208.             } else
  209.                 // Wrong State
  210.                 exit("Authorization error : incoherent State");
  211.  
  212.         } else
  213.             // Missing State
  214.             exit("Authorization error : missing State");
  215.  
  216.     } else {
  217.  
  218.         // Step 1. Authorization Code request
  219.  
  220.         @session_regenerate_id();
  221.         $state = session_id();
  222.         $_SESSION['state'] = $state;
  223.  
  224.         $data = array(
  225.             'response_type' => 'code',
  226.             'client_id' => $client_id,
  227.             'scope' => 'openid profile sli',
  228.             'state' => $state,    
  229.         );
  230.  
  231.         $authorization_endpoint .= '?' . http_build_query($data);
  232.         header('Location: ' . $authorization_endpoint);
  233.         exit();
  234.     }
  235.  
  236. } else {
  237.     // Authorization error
  238.     exit("Authorization error : {$_GET['error']} : {$_GET['error_description']}");
  239. }
  240.  
  241.  
  242. ?>

Télécharger

Lancer le script : https://oa.dnc.global/oidc/tests/te...