OAuth2 och OpenID Connect på djupet · Lektion

Implicit Flow med OIDC

Utforska Implicit Flow med OIDC och förstå dess direkta returnering av ID Token samt säkerhetskonsekvenserna för single-page-applikationer.

Lektion 2 av 411 steg

Implicit Flow med OIDC är en gratis lektion i OAuth2 och OpenID Connect på djupet på CoddyKit. Detta är lektion 2 av 4. Du kan läsa vilka 3 lektioner som helst i den här lärvägen kostnadsfritt i sin helhet – därefter låser CoddyKit PRO upp alla lektioner, plus praktisk övning med en inbyggd kodredigerare och en AI-lärare dygnet runt. Den ingår i lärvägen för OAuth2 och OpenID Connect på djupet, och Era framsteg synkroniseras mellan webben och CoddyKit-appen. Kursen i OAuth2 och OpenID Connect på djupet innehåller totalt 4 lektioner.

Grunderna i OIDC Implicit Flow

Vad är Implicit Flow med OpenID Connect (OIDC)? Det är ett sätt för webbapplikationer, särskilt Single-Page Applications (SPA:er), att hämta identitetsinformation och access tokens direkt från Authorization Server.

Det utformades för situationer där en backend-server inte kunde lagra en client secret på ett säkert sätt.

Direkt leverans av tokens

Till skillnad från Authorization Code Flow innebär Implicit Flow inget kodutbyte med Authorization Servers token endpoint.

I stället returneras ID Token och Access Token direkt till klientens webbläsare i URL-fragmentet efter att användaren har autentiserats.

Begära tokens direkt

Klientapplikationen initierar flödet genom att omdirigera användarens webbläsare till Authorization Servers /authorize-endpoint.

Viktiga parametrar är:

response_type=id_token token: Begär både en ID Token och en Access Token.
client_id: Identifierar klientapplikationen.
redirect_uri: Anger vart användaren skickas tillbaka efter autentiseringen.
scope=openid profile: Anger de begärda behörigheterna, inklusive openid för OIDC.
nonce: En unik sträng som förhindrar replay-attacker.

https://auth.example.com/authorize?
  response_type=id_token%20token&
  client_id=my-spa-client&
  redirect_uri=https://app.example.com/callback&
  scope=openid%20profile&
  nonce=aRandomNonceValue&
  state=aRandomStateValue

Tokens i URL-fragmentet

När användaren har autentiserats och lämnat sitt samtycke omdirigerar Authorization Server användarens webbläsare tillbaka till redirect_uri.

Tokens (ID Token och Access Token) inkluderas direkt i URL:ens fragmentdel (efter symbolen #).

JavaScript på klientsidan läser sedan dessa tokens och bearbetar dem.

https://app.example.com/callback#
  id_token=eyJ...&
  access_token=eyJ...&
  token_type=Bearer&
  expires_in=3600&
  state=aRandomStateValue

Tokenbearbetning på klientsidan

Eftersom tokens finns i URL-fragmentet är de åtkomliga för JavaScript på klientsidan. Webbläsaren skickar inte fragmentet till servern.

SPA:n extraherar id_token och access_token, validerar dem och kan sedan använda access_token för att göra begäranden till skyddade API-resurser.

public class TokenParser {
  public static void main(String[] args) {
    String urlFragment = "id_token=eyJ...&access_token=eyJ...&expires_in=3600";
    System.out.println("Processing URL fragment:");
    String[] params = urlFragment.split("&");
    for (String param : params) {
      String[] pair = param.split("=");
      if (pair.length == 2) {
        System.out.println(pair[0] + ": " + pair[1]);
      }
    }
    System.out.println("\nIn a real app, you'd validate these tokens!");
  }
}

Identitet med ID Token

ID Token är en JSON Web Token (JWT) som innehåller claims om den autentiserade användaren, till exempel användarens unika identifierare, namn och e-postadress.

Klientapplikationen validerar denna token för att verifiera användarens identitet och säkerställa att den kommer från förväntad Authorization Server.

Det här är det "identitetslager" som OpenID Connect lägger till i OAuth2.

Säkerhetsrisk: webbläsarhistorik

En stor säkerhetsrisk med Implicit Flow är att tokens exponeras i webbläsarens URL-fragment.

Det innebär att de kan lagras i webbläsarhistoriken och i serverns åtkomstloggar (om fragmentet av misstag inkluderas), och att andra skript på samma sida potentiellt kan komma åt dem.

Webbläsarhistorik: Tokens kan sparas, vilket möjliggör obehörig åtkomst om någon får tillgång till webbläsarhistoriken.
Referrer-headers: I vissa fall kan tokens läcka via Referrer-headers.

Säkerhetsrisk: ingen client secret

Implicit Flow används vanligtvis av "publika klienter" (till exempel SPA:er) som inte kan lagra en client secret på ett säkert sätt.

Det innebär att Authorization Server inte kan autentisera själva klientapplikationen, utan bara användaren. Därför blir den sårbar för vissa attacker, till exempel tokeninjektion.

En angripare kan potentiellt injicera en skadlig token.
Det finns inget kryptografiskt bevis på att klienten som tar emot token är den som initierade begäran.

Avråds från och ersätts

På grund av sina inneboende säkerhetsbrister är Implicit Flow numera i stort sett föråldrat för nya implementationer.

OAuth 2.0 Security Best Current Practice rekommenderar Authorization Code Flow med PKCE (Proof Key for Code Exchange) för publika klienter som SPA:er och mobilappar.

PKCE erbjuder ett robust sätt att skydda publika klienter utan att kräva en client secret.

Snabbtest av Implicit Flow

Vilken av följande är den främsta säkerhetsrisken vid användning av OIDC Implicit Flow?

Besvara frågan i den interaktiva lektionen

Repetition av Implicit Flow

Vi har gått igenom OIDC Implicit Flow, där identitets- och access tokens returneras direkt i URL-fragmentet.

Även om det förenklar åtkomsten på klientsidan har säkerhetsriskerna, främst att tokens exponeras i URL:en och att klienten inte autentiseras, lett till att flödet förklarats föråldrat.

Föredra alltid Authorization Code Flow med PKCE för publika klienter för att säkerställa robust säkerhet.

Gratis att börja

Lär dig OAuth2 och OpenID Connect på djupet med en AI-lärare – gratis

Skriv och kör riktig kod i webbläsaren, få omedelbar hjälp av en AI-lärare dygnet runt och fortsätt där du slutade – på webben eller i appen.

Kurser: 12
Lektioner: 48

Börja lära dig gratis Visa hela kursen

Vanliga frågor

Är lektionen ”Implicit Flow med OIDC” gratis?

Ja – du kan läsa vilka 3 lektioner som helst i lärvägen OAuth2 och OpenID Connect på djupet, inklusive ”Implicit Flow med OIDC”, kostnadsfritt i sin helhet här på webben. Därefter låser CoddyKit PRO upp alla lektioner, plus interaktiv övning med en inbyggd kodredigerare och en AI-lärare dygnet runt. Kursen i OAuth2 och OpenID Connect på djupet innehåller totalt 4 lektioner.

Vad lär jag mig i ”Implicit Flow med OIDC”?

Utforska Implicit Flow med OIDC och förstå dess direkta returnering av ID Token samt säkerhetskonsekvenserna för single-page-applikationer. Ni övar på OAuth2 och OpenID Connect på djupet med praktisk kod som körs direkt i webbläsaren, medan en AI-handledare som är tillgänglig dygnet runt svarar på Era frågor under lektionen.

Behöver jag någon erfarenhet för att börja lära mig OAuth2 och OpenID Connect på djupet?

Du behöver inga förkunskaper. Utbildningen i OAuth2 och OpenID Connect på djupet på CoddyKit är upplagd för allt från nybörjare till avancerade elever, så att du kan börja här eller från början och gå fram i din egen takt. Detta är lektion 2 av 4.

Hur lång tid tar lektionen ”Implicit Flow med OIDC”?

De flesta CoddyKit-lektioner tar cirka 5–10 minuter. Varje lektion är kort och interaktiv, så att du gör stadiga framsteg och kan fortsätta precis där du slutade – på webben eller i appen.

Kan jag skriva och köra kod i den här OAuth2 och OpenID Connect på djupet-lektionen?

Ja. Varje OAuth2 och OpenID Connect på djupet-lektion innehåller en inbyggd kodredigerare, så att du kan skriva och köra riktig kod direkt i webbläsaren och få omedelbar AI-feedback – utan lokal installation.

Alla lektioner i den här kursen

← Tillbaka till OAuth2 och OpenID Connect på djupet