Authlib OAuth 登入與單點登入安全機制

– 5 分鐘閱讀

OAuth 登入流程需要先註冊 Auth0 服務並取得 client ID 和 client secret，接著設定登入與回呼路由，使用 Authlib 處理重定向、令牌交換和驗證。單點登入（SSO）實作則需考量 token 驗證與管理，避免 token 遭竊取或失效導致帳戶安全風險。會話管理也是 SSO 系統重要環節，會話資料可儲存於 cookie、local storage 或中央會話儲存，並搭配 token 驗證機制確保安全性。整合 SAML 協定時，需注意 XML 解析、數字簽名驗證和 metadata 交換等問題，才能確保不同系統間身份驗證和授權資料交換的安全性。

使用 Authlib 進行 OAuth 登入的範例

在這個範例中，我們將使用 Authlib 來實作 OAuth 登入。首先，需要註冊 Auth0 並取得 client ID 和 client secret。

註冊 Auth0

auth0 = oauth.register(
    'auth0',
    client_id='YOUR_CLIENT_ID',
    client_secret='YOUR_CLIENT_SECRET',
    client_kwargs={
        'scope': 'openid profile email',
    },
)

登入路由

@app.route('/login')
def login():
    redirect_uri = url_for('callback', _external=True)
    return auth0.authorize_redirect(redirect_uri)

回呼路由

@app.route('/callback')
def callback():
    token = auth0.authorize_access_token()
    session['user'] = token
    return redirect('/dashboard')

###儀錶板路由

@app.route('/dashboard')
def dashboard():
    if 'user' not in session:
        return redirect(url_for('login'))
    return f"Welcome {session['user'].get('userinfo', {}).get('name', 'User')}"

在這個範例中，Authlib 負責處理重定向、令牌交換和驗證。為了保護免受跨站請求偽造（CSRF）攻擊，開發人員應確保狀態引數是使用像 Python secrets 模組這樣的系統安全生成的，並暫時儲存在使用者會話中。

令牌驗證

令牌驗證是實作單點登入（SSO）的關鍵部分。以下是使用 PyJWT 函式庫進行令牌驗證的範例：

import jwt
import requests

def fetch_public_keys(jwks_url: str) -> dict:
    response = requests.get(jwks_url)
    response.raise_for_status()
    return response.json()

def verify_id_token(id_token: str, jwks_url: str, audience: str, issuer: str):
    jwks = fetch_public_keys(jwks_url)
    public_key = jwks['keys'][0]
    try:
        decoded = jwt.decode(
            id_token,
            key=jwt.algorithms.RSAAlgorithm.from_jwk(public_key),
            algorithms=['RS256'],
            audience=audience,
            issuer=issuer
        )
        return decoded
    except jwt.ExpiredSignatureError:
        return None

在這個範例中，我們使用 PyJWT 函式庫來驗證 ID 令牌。首先，需要從 JWKS 端點取得公鑰，然後使用公鑰來驗證 ID 令牌的簽名。同時，也需要驗證令牌的 audience 和 issuer 是否正確。

單點登入（SSO）安全性與實作

單點登入（SSO）是一種讓使用者可以使用單一帳戶和密碼存取多個應用程式的技術。然而，實作 SSO 需要考慮到安全性問題，尤其是在管理使用者會話和驗證 token 時。

Token 驗證與管理

在 SSO 系統中，token 是用於驗證使用者身份的重要機制。當使用者登入時，系統會發放一個 token 給使用者，然後使用者可以使用這個 token 存取不同的應用程式。然而，token 的安全性非常重要，因為如果 token 被竊取或失效，可能會導致使用者的帳戶被盜用。

import jwt

def verify_token(token):
    try:
        decoded = jwt.decode(token, 'secret_key', algorithms=['HS256'])
        return decoded
    except jwt.ExpiredSignatureError:
        raise Exception("ID token expired")
    except jwt.InvalidTokenError as e:
        raise Exception("Invalid ID token: " + str(e))

會話管理

會話管理是 SSO 系統中的另一個重要方面。當使用者登入時，系統需要建立一個會話並儲存使用者的資料。會話可以儲存在不同的位置，例如 cookie、local storage 或中央會話儲存。

import redis

redis_client = redis.Redis(host='localhost', port=6379, db=0)

def store_user_session(session_id, session_data, expiration_seconds):
    session_data['expires_at'] = (datetime.datetime.utcnow() + datetime.timedelta(seconds=expiration_seconds)).isoformat()
    redis_client.setex(f"session:{session_id}", expiration_seconds, json.dumps(session_data))

def retrieve_user_session(session_id):
    session_json = redis_client.get(f"session:{session_id}")
    if session_json:
        return json.loads(session_json)
    return {}

def delete_user_session(session_id):
    redis_client.delete(f"session:{session_id}")

SAML 與 Legacy 系統整合

SAML（Security Assertion Markup Language）是一種用於 SSO 的標準協定。它允許不同的系統之間交換身份驗證和授權資料。然而，實作 SAML 需要考慮到 XML 解析、數字簽名驗證和-metadata 交換等問題。

from onelogin.saml2.auth import OneLogin_Saml2_Auth
from flask import request

def init_saml_auth(req):
    auth = OneLogin_Saml2_Auth(req, custom_base_path='/path/to/saml')
    return auth

@app.route('/sso/saml', methods=['GET', 'POST'])
def saml_sso():
    req = prepare_flask_request(request)
    auth = init_saml_auth(req)
    #...

圖表翻譯

此圖示為 SSO 系統的架構圖，展示了使用者、身份提供者（IdP）和服務提供者（SP）之間的互動過程。

  flowchart TD
    User[使用者] -->|登入| IdP[身份提供者]
    IdP -->|發放token| User
    User -->|存取應用程式| SP[服務提供者]
    SP -->|驗證token| IdP
    IdP -->|傳回驗證結果| SP

圖表翻譯：

此圖表展示了 SSO 系統的基本流程。使用者首先登入身份提供者（IdP），然後 IdP 發放一個 token 給使用者。使用者使用這個 token 存取不同的應用程式（SP）。SP 驗證 token 並傳回驗證結果給 IdP。IdP 則傳回驗證結果給 SP。這個過程確保了使用者的身份驗證和授權。

實作單點登入（SSO）安全機制

單點登入（SSO）是一種使用者可以使用單一帳戶登入多個應用程式的機制。實作 SSO 需要嚴格的安全措施，包括中介軟體實作、角色和許可權檢查、集中式身份驗證等。

SSO 中介軟體實作

在 Python 微服務環境中，可以佈署專用的身份驗證閘道（Authentication Gateway）。這個閘道負責驗證令牌、記錄身份驗證嘗試、強制一致的超時和速率限制政策。高階實作可以使用 FastAPI 和 asyncio 等非同步框架來管理高吞吐量和可擴充套件的身份驗證處理。

from fastapi import FastAPI, Request, HTTPException, Depends
from fastapi.security import HTTPBearer, HTTPAuthorizationCredentials
import jwt

app = FastAPI()
security = HTTPBearer()

def token_validator(credentials: HTTPAuthorizationCredentials = Depends(security)):
    token = credentials.credentials
    try:
        decoded = jwt.decode(token, SECRET_KEY, algorithms=["HS256"])
        return decoded
    except jwt.PyJWTError:
        raise HTTPException(status_code=403, detail="Invalid authentication token")

@app.get("/secure-endpoint")
async def secure_endpoint(user=Depends(token_validator)):
    return {"message": f"Access granted to {user['sub']}"}

錯誤處理和日誌記錄

一個成熟的 SSO 實作還需要強大的錯誤處理和日誌記錄機制。應該維護所有身份驗證事件的詳細稽核痕跡。當令牌被驗證或重新整理時，應記錄具有不可變時間戳、使用者識別符號和上下文資訊的事件。結構化日誌記錄可以與 SIEM 系統整合，以確保安全事件得到及時檢測和調查。

測試策略

實作 SSO 跨多個應用程式需要適當的測試策略。自動化整合測試應模擬整個 SSO 工作流程，包括重定向、令牌交換、宣告驗證和會話管理。使用身份提供者測試雙胞胎可以模擬各種 SSO 場景，包括令牌過期、復原和網路故障。安全滲透測試和定期審核加密金鑰輪換政策是維護 SSO 系統信心的必要步驟。

單點登入(SSO)已成為現代網路應用程式不可或缺的組成部分，尤其在微服務架構和雲端原生應用程式盛行的趨勢下。本篇文章深入探討了使用 Authlib 實作 OAuth 登入、Token 驗證與管理、會話管理，以及與 SAML 及 Legacy 系統整合等關鍵導向。分析 SSO 的實作細節，可以發現，確保 Token 安全、有效管理會話和與既有系統的整合是 SSO 成功落地的關鍵挑戰。技術限制深析顯示，Token 的安全性、會話管理的複雜性以及與不同身份驗證協定的整合，都需要開發者仔細考量與權衡。然而，透過妥善的架構設計和安全機制，例如使用 FastAPI 構建高吞吐量身份驗證閘道，以及結合結構化日誌記錄和 SIEM 系統進行安全事件監控，能有效降低風險。展望未來，隨著零信任安全模型的興起，去中心化身份驗證和可驗證憑證等技術將與 SSO 深度融合，進一步提升安全性和使用者經驗。玄貓認為，開發者應積極探索這些新興技術，並將其整合至 SSO 解決方案中，才能在日益複雜的網路安全環境中保持競爭力。

玄貓

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。