OAuth2 og OpenID Connect i dybden · leksjon

Implicit Flow med OIDC

Utforsk Implicit Flow med OIDC, og forstå den direkte returneringen av ID Token og sikkerhetsmessige konsekvenser for single-page-applikasjoner.

Leksjon 2 av 411 trinn

Implicit Flow med OIDC er en gratis leksjon i OAuth2 og OpenID Connect i dybden på CoddyKit. Dette er leksjon 2 av 4. Du kan lese valgfritt 3 leksjoner fra denne læringsstien gratis i sin helhet – deretter låser CoddyKit PRO opp alle leksjoner, samt praktisk øving med en innebygd kodeeditor og en AI-veileder som er tilgjengelig døgnet rundt. Den er en del av læringsløpet i OAuth2 og OpenID Connect i dybden, og fremdriften din synkroniseres mellom nettet og CoddyKit-appen. Kurset i OAuth2 og OpenID Connect i dybden inneholder totalt 4 leksjoner.

Grunnleggende om OIDC Implicit Flow

Hva er Implicit Flow med OpenID Connect (OIDC)? Det er en måte for nettapplikasjoner, særlig Single-Page Applications (SPA-er), å hente identitetsinformasjon og tilgangstokens direkte fra autorisasjonsserveren.

Den ble utviklet for situasjoner der en backend-server ikke kunne lagre en klienthemmelighet på en sikker måte.

Direkte levering av tokens

I motsetning til Authorization Code Flow innebærer Implicit Flow ikke en utveksling av en autorisasjonskode med autorisasjonsserverens token-endepunkt.

I stedet returneres ID-tokenet og Access Token direkte til klientens nettleser i URL-fragmentet etter at brukeren er autentisert.

Be om tokens direkte

Klientapplikasjonen starter flyten ved å omdirigere brukerens nettleser til Authorization Servers /authorize-endepunkt.

Viktige parametere omfatter:

response_type=id_token token: Ber om både et ID-token og et Access Token.
client_id: Identifiserer klientapplikasjonen.
redirect_uri: Angir hvor brukeren sendes tilbake etter autentisering.
scope=openid profile: Angir forespurte tillatelser, inkludert openid for OIDC.
nonce: En unik streng som forhindrer replay-angrep.

https://auth.example.com/authorize?
  response_type=id_token%20token&
  client_id=my-spa-client&
  redirect_uri=https://app.example.com/callback&
  scope=openid%20profile&
  nonce=aRandomNonceValue&
  state=aRandomStateValue

Tokens i URL-fragmentet

Etter at brukeren er autentisert og har gitt sitt samtykke, omdirigerer Authorization Server brukerens nettleser tilbake til redirect_uri.

Tokenene (ID-tokenet og Access Token) inkluderes direkte i URL-ens fragmentdel (etter symbolet #).

JavaScript på klientsiden leser og behandler deretter disse tokenene.

https://app.example.com/callback#
  id_token=eyJ...&
  access_token=eyJ...&
  token_type=Bearer&
  expires_in=3600&
  state=aRandomStateValue

Tokenbehandling på klientsiden

Siden tokenene befinner seg i URL-fragmentet, er de tilgjengelige for JavaScript på klientsiden. Nettleseren sender ikke fragmentet til serveren.

SPA-en henter ut id_token og access_token, validerer dem og kan deretter bruke access_token til å sende forespørsler til beskyttede API-ressurser.

public class TokenParser {
  public static void main(String[] args) {
    String urlFragment = "id_token=eyJ...&access_token=eyJ...&expires_in=3600";
    System.out.println("Processing URL fragment:");
    String[] params = urlFragment.split("&");
    for (String param : params) {
      String[] pair = param.split("=");
      if (pair.length == 2) {
        System.out.println(pair[0] + ": " + pair[1]);
      }
    }
    System.out.println("\nIn a real app, you'd validate these tokens!");
  }
}

Identitet med ID-tokenet

ID-tokenet er et JSON Web Token (JWT) som inneholder claims om den autentiserte brukeren, for eksempel brukerens unike identifikator, navn og e-postadresse.

Klientapplikasjonen validerer dette tokenet for å bekrefte brukerens identitet og sikre at det kommer fra forventet Authorization Server.

Dette er «identitetslaget» OpenID Connect tilfører OAuth2.

Sikkerhetsrisiko: Nettleserhistorikk

En viktig sikkerhetsbekymring ved Implicit Flow er at tokens eksponeres i nettleserens URL-fragment.

Det betyr at de kan lagres i nettleserhistorikken, i serverens tilgangslogger (hvis fragmentet ved en feil inkluderes), og potensielt nås av andre skript på samme side.

Nettleserhistorikk: Tokens kan bli lagret, slik at uvedkommende kan få tilgang hvis de får tilgang til nettleserhistorikken.
Referrer-headere: I enkelte tilfeller kan tokens lekke via Referrer-headere.

Sikkerhetsrisiko: Ingen klienthemmelighet

Implicit Flow brukes vanligvis av «offentlige klienter» (for eksempel SPA-er) som ikke kan lagre en klienthemmelighet på en sikker måte.

Det betyr at Authorization Server ikke kan autentisere selve klientapplikasjonen, bare brukeren. Dette gjør den sårbar for enkelte angrep, for eksempel token-injeksjon.

En angriper kan potensielt injisere et skadelig token.
Det finnes ikke noe kryptografisk bevis på at klienten som mottar tokenet, er den som startet forespørselen.

Frarådet og erstattet

På grunn av de innebygde sikkerhetssvakhetene er Implicit Flow nå i stor grad avviklet for nye implementeringer.

OAuth 2.0 Security Best Current Practice anbefaler å bruke Authorization Code Flow med PKCE (Proof Key for Code Exchange) for offentlige klienter som SPA-er og mobilapper.

PKCE gir en robust måte å sikre offentlige klienter på uten å kreve en klienthemmelighet.

Hurtigsjekk av Implicit Flow

Hvilken av følgende er en sentral sikkerhetsbekymring ved bruk av OIDC Implicit Flow?

Besvar den i den interaktive leksjonen

Oppsummering av Implicit Flow

Vi har utforsket OIDC Implicit Flow, der identitets- og tilgangstokens returneres direkte i URL-fragmentet.

Selv om dette forenkler tilgangen på klientsiden, har sikkerhetsrisikoene – først og fremst eksponering av tokens i URL-en og manglende klientautentisering – ført til at flyten er avviklet.

Foretrekk alltid Authorization Code Flow med PKCE for offentlige klienter for å sikre robust sikkerhet.

Gratis å komme i gang

Lær deg OAuth2 og OpenID Connect i dybden med en AI-veileder – gratis

Skriv og kjør ekte kode i nettleseren, få umiddelbar hjelp fra en AI-veileder som er tilgjengelig døgnet rundt, og fortsett der du slapp – på nettet eller i appen.

Kurs: 12
Leksjoner: 48

Start læringen gratis Se hele kurset

Ofte stilte spørsmål

Er leksjonen «Implicit Flow med OIDC» gratis?

Ja – du kan lese valgfritt 3 av leksjonene i læringsstien OAuth2 og OpenID Connect i dybden, inkludert «Implicit Flow med OIDC», gratis i sin helhet her på nettet. Deretter låser CoddyKit PRO opp alle leksjoner, samt interaktiv øving med en innebygd kodeeditor og en AI-veileder som er tilgjengelig døgnet rundt. Kurset i OAuth2 og OpenID Connect i dybden inneholder totalt 4 leksjoner.

Hva lærer jeg i «Implicit Flow med OIDC»?

Utforsk Implicit Flow med OIDC, og forstå den direkte returneringen av ID Token og sikkerhetsmessige konsekvenser for single-page-applikasjoner. Du øver på OAuth2 og OpenID Connect i dybden med praktisk kode som du kjører direkte i nettleseren, mens en AI-veileder som er tilgjengelig døgnet rundt, svarer på spørsmålene dine mens du jobber deg gjennom leksjonen.

Trenger jeg erfaring for å begynne med OAuth2 og OpenID Connect i dybden?

Ingen tidligere erfaring er nødvendig. OAuth2 og OpenID Connect i dybden på CoddyKit er lagt opp for både nybegynnere og viderekomne, så De kan begynne her eller helt fra start og lære i Deres eget tempo. Dette er leksjon 2 av 4.

Hvor lang tid tar leksjonen «Implicit Flow med OIDC»?

De fleste CoddyKit-leksjoner tar omtrent 5–10 minutter. Hver leksjon er kort og interaktiv, slik at De gjør jevne fremskritt og kan fortsette akkurat der De slapp – både på nettet og i appen.

Kan jeg skrive og kjøre kode i denne OAuth2 og OpenID Connect i dybden-leksjonen?

Ja. Alle OAuth2 og OpenID Connect i dybden-leksjoner har en innebygd kodeeditor, slik at De kan skrive og kjøre ekte kode direkte i nettleseren og få umiddelbar tilbakemelding fra AI – uten lokal konfigurering.

Alle leksjonene i dette kurset

← Tilbake til OAuth2 og OpenID Connect i dybden