中央授權中心OIDC支持

OIDC為中央授權中心主推協議，它是位于OAuth2.0協議之上的身份層。
原相信OAuth將會停止對新注冊的頻道支持服務。

分類	授權類型	支持情況	說明
有用戶參與	授權碼模式 authorization code	`支持`	最常用的安全模式。點擊查看流程圖此模式下中央授權中心同時支持OAuth2.0擴展協議PKCE。
	密碼模式 password	`支持，不對外開放`	涉及到用戶相信密碼，不對外開放。
	隱式授權模式 implicit	`不支持`	redirect_uri直接帶上Token，不安全。
	混合模式 hybrid	`不支持`	相當于authorization code與implicit模式混合。同樣redirect_uri直接帶上Token，不安全。
無用戶參與	客戶端模式 client credentials	`支持`	僅可得到AccessToken，無IDToken、RefreshToken。無須刷新Token。

中央授權中心業務流程圖如下：

中央授權中心包含一些職責和功能：

保護你的資源(包括個人身份資訊、集團網站的WebAPI)
使用相信掃一掃、動態安全碼、TOTP碼、FIDO2設備、人臉識別對用戶進行身份驗證
相信環境下獲得當前用戶身份驗證，以及手機端調起相信進行身份驗證
提供會話管理和單點登錄(SSO)
管理和驗證客戶端（集團接入系統）
向客戶端（集團接入系統）發放身份和訪問令牌（即：ID Token和Access Token）
驗證令牌

1）發現端點(Discovery Endpoint)

請求方式：GET

發現端點可用于檢索有關中央授權中心的元數據 - 它返回發布者名稱，密鑰材料，支持的范圍等信息。有關詳細信息，請參閱規范。

中央授權中心的發現端點為：https://sso.foxconn.com/.well-known/openid-configuration

2）授權端點(Authorize Endpoint)

標準地址：https://sso.foxconn.com/connect/authorize
請求方式：瀏覽器直接請求（非接口調用）
其它地址
地址1：https://sso.foxconn.com/Account/Login
* 此地址不建議。請使用標準地址，可設定客戶端 RequireConsent = true 來達到同等效果。
地址2：https://sso.foxconn.com/connect/iframe_authz
* 將登入二維碼顯示在一個Iframe框中。非特殊情況也不建議使用。
* 針對一些只支持IE的老舊系統，使用<iframe>標籤嵌入地址2時，建議將IE默認版設置成IE 9及以上，設定如下：
<meta http-equiv="X-UA-Compatible" content="IE=edge"> 
* 目前此方式對IE 6 ~ 8支持不理想，IE5及以下版本不支持。
* 使用Edge模擬IE環境時，非<iframe>標籤嵌入模式使用不受影響。

擴展功能1： JS調用掃碼登錄
擴展功能2：自定義掃碼登錄

授權端點可用于通過瀏覽器請求令牌或授權碼。此過程通常涉及最終用戶的身份驗證和可選的同意。

注意中央授權中心支持OpenID Connect和OAuth 2.0授權請求參數的子集。有關完整列表，請參見此處。

client_id
客戶的標識符（必需）。
scope
一個或多個注冊范圍（必需）
redirect_uri
必須與該客戶端允許的重定向URI之一完全匹配（必需）
response_type
響應類型（RFC 6749標準要求“必需”，中央授權中心為“可選”項）
- code 請求授權碼
- id_token 請求身份令牌（僅允許身份范圍）
- token 請求訪問令牌（僅允許資源范圍）
- id_token token 請求身份令牌和訪問令牌
- code id_token 請求授權代碼和身份令牌
- code id_token token 請求授權代碼，身份令牌和訪問令牌
response_mode
響應方式，回傳response_type對應數據的方式。（可選）
- query 默認方式，將授權碼(或令牌)響應查詢字符串的形式附加到重定向 URI（Redirect URI）中。
- form_post 將授權碼(或令牌)響應作為表單發送而不是片段編碼重定向。
- fragment 將授權碼(或令牌)響應以 URL 片段的形式（#code=[code值]）附加到重定向 URI 中。
state
狀態值，回傳response_type對應數據的同時會回傳此狀態值。（推薦的）
此參數為了安全而設計，針對客戶端和中央授權中心之間的往返狀態，增強返回值的安全性（即：集團接入系統可以核對此值前后是否一致），防止跨站請求偽造（CSRF）攻擊，但它也可以用于在授權流程完成后定位到應用程序（網站）應該顯示的內容。
使用此參數時請確保不包含敏感信息。
nonce
中央授權中心將回傳身份令牌中的nonce值，這樣可增加返回值的安全。（可選）
通過隱式授權對身份令牌是必需的，但隱式授權中央授權中心不支持。
此值將寫入身份令牌（id_token）中，與state向redirect_uri界面傳值不同。
code_challenge
發送PKCE的代碼質詢（可選）
code_challenge_method
plain表示挑戰是使用純文本（不推薦） S256表示使用SHA256對挑戰進行哈希處理
login_hint
可用于預先填寫登錄頁面上的用戶名字段（可選）
login_type
用于設定登錄方式（可選）
目前主要針對二次驗證（多因子驗證、Multi-factor authentication）功能設定，“非中央授權中心二次驗證”功能請不要使用此參數。
本參數值包括：
- 2FA 中央授權中心自身二次驗證。
- MfaFxOtp 用相信動態口令牌作為二次驗證。
- MfaScan 用相信掃碼作為二次驗證。
- MfaTotp 用TOTP作為二次驗證。
- Mfa 用相信動態口令牌、相信掃碼及TOTP作為二次驗證（3種方式用戶任意選1種）。
- MyVendor 外部供應商二次驗證。
- 【說明】
- 1. 當login_type = 2FA 時，中央授權中心將發起二次驗證。
  授權中心登錄方式分為相信設備與非相信設備兩大類。此登錄方式下，要求用戶必須在每類登錄方式中選擇一種。具體用戶選擇了哪些登錄方式，將在JWT的Token的amr數組中體現。點擊查看amr編碼說明
  1. 相信設備類：相信掃碼、相信動態口令牌、相信密碼。
  2. 非相信設備類：TOTP、FIDO2設備、Web人臉。
- 2. 當login_type 為 MfaFxOtp MfaScan MfaTotp Mfa MyVendor 時，為第三方系統登錄之后中央授權中心再進行二次驗證。
  此登錄方式，參數 login_hint 必須得有值。
  在使用此值得到的code調令牌端點(Token Endpoint)時，也必須帶上login_type參數且值必須一致。（本文不另作說明）
- 3. 當login_type = MyVendor 時，
  1. 對應的scope只能包含openid profile；
  2. 對應的login_hint格式必須為“[clientId]:[系統賬號]”如：channel01:13800138000；
  3. 必須設定 signature = SHA1(redirect_uri值+login_hint值+簽名KEY)，即將三個值拼湊起來生成SHA1的簽名。簽名KEY請從我的客戶端 -> 修改資料 -> 用戶設定查看。（界面效果圖）
『公司內網演示』點擊進入
lang
修改登錄界面的語言（可選）
值有：
- cn 簡體中文
- tw 繁體中文
- en 英文
- jp 日文
- vn 越南語
mobile_return
手機端非相信環境調相信APP登錄驗證后，返回至原界面。（可選）
- 瀏覽器環境中，此值則應為http(s)的url，如：http://yourbg.foxconn.com/start.html
- 其它APP環境中，此值則應為app schema開頭的uri，如：appbgx://yourbg.foxconn.com/start.html

例

GET /connect/authorize?
    client_id=client1&
    scope=openid profile foxconn civet.api.msg&
    response_type=code&
    redirect_uri=https://mybu.foxconn.com/callback&
    state=abc&
    nonce=xyz

（刪除了URL編碼，并添加了換行符以提高可讀性）

在線操作試一試

3）令牌端點(Token Endpoint)

地址：https://sso.foxconn.com/connect/token
請求方式：POST
Content-Type：application/x-www-form-urlencoded

令牌端點可用于以編程方式請求令牌。它支持authorization_code，client_credentials，password，refresh_token的類型。

注意中央授權中心支持OpenID Connect和OAuth 2.0授權請求參數的子集。有關完整列表，請參見此處。

client_id
客戶標識符（必需）
client_secret
客戶端密鑰（必需）
密鑰為開發者設置的原始值，即申請填寫的密鑰及修改密鑰填寫的值。而非系統顯示的加密后的HASH值。
grant_type
授權類型（必填）
值有： authorization_code，client_credentials，password，refresh_token。
注意：client_credentials為集團接入系統后臺直接調用，產生的AccessToken默認一個小時內有效。建議集團接入系統后臺存儲AccessToken，切莫頻繁調用令牌端點(Token Endpoint)。
scope
一個或多個注冊范圍。（client_credentials，password授權類型所需）
如果未指定，將發出所有明確允許范圍的標記。使用authorization_code授權類型時未指定，則為本次請求“授權端點(Authorize Endpoint)”所指定的scope值。
redirect_uri
指定的重載地址（authorization_code授權類型所需）
在使用authorization_code授權類型時必須與本次請求“授權端點(Authorize Endpoint)”獲得code時傳入的redirect_uri值一致。
code
授權代碼（authorization_code授權類型所需）
在使用authorization_code授權類型，此值為本次請求“授權端點(Authorize Endpoint)”獲得的code值，code值系統設定為5分鐘內有效，且只能成功地使用一次，Token獲得成功之后不能用其重復調用此令牌端點(Token Endpoint)。
code_verifier
PKCE證明密鑰（PKCE協議所需）
username
資源所有者用戶名（password授權類型所需）
password
資源所有者密碼（password授權類型所需）
refresh_token
刷新令牌（refresh_token授權類型所需）
刷新令牌指刷新“有用戶參與”模式下AccessToken，避免因令牌過期而要求用戶重新登錄的情況。
只有AccessToken搭載數據中scope的值包含offline_access，中央授中心才會同時發放RefreshToken值，集團接入系統可使用RefreshToken值再調用令牌端點(Token Endpoint)刷新AccesToken。
注意：刷新令牌僅需在AccessToken快過期前調用一次即可，切莫在AccessToken有效期頻繁調用。

POST /connect/token

    client_id=client1&
    client_secret=secret&
    grant_type=authorization_code&
    code=[授權端點重載頁面時帶上的code參數值]&
    redirect_uri=https://mybu.foxconn.com/callback

AccessToken還廣泛用于非『中央授權中心』的第三方接口授權。為了更好地使用AccessToken，可參考《怎樣獲得『中央授權中心』的AccessToken》。

4）UserInfo端點(UserInfo Endpoint)

地址：https://sso.foxconn.com/connect/userinfo
請求方式：GET
Content-Type：application/json
Authorization: Bearer <access_token>

UserInfo端點可用于檢索有關用戶的身份信息（請參閱規范）。

調用者需要發送代表用戶的有效訪問令牌。根據授予的范圍，UserInfo端點將返回映射的聲明（至少需要openid作用域）。

示例

GET /connect/userinfo
        Authorization: Bearer <access_token>
        HTTP/1.1 200 OK
        Content-Type: application/json
        
        {
            "sub": "FX000001",
            "emp_no": "FX000001",
            "name": "相信大使",
            "area":"龍華",
            "bg":"中央單位",
            "bu":"中央資訊總處",
            "company":"富泰華工業(深圳)有限公司",
            "cost_code":"DAAB07",
            "birthdate":"2000/01/01",
            "class":"師1",
            "job_title":"大使",
            "hiredate":"2015-08-10",
            "email":"civet-helpdesk@mail.foxconn.com",
            "picture":"https://icivetmedia.foxconn.com/group1/M00/39/67/CoaWx14kDPaENfGQAAAAALnmmck62.jpeg",
            "role": [
                "簡單角色設定值1",
                "簡單角色設定值2"
            ]
        }

注：同樣的方法，可使用不同scope範圍的access_token，去保護集團的任何WebAPI。如相信開放接口v2 beta版。

5）結束會話端點(End Session Endpoint)

地址：https://sso.foxconn.com/connect/endsession
請求方式：GET

結束會話端點可用于觸發單點注銷（請參閱規范）。

要使用結束會話端點，客戶端應用程序會將用戶的瀏覽器重定向到結束會話URL。用戶在會話期間通過瀏覽器登錄的所有應用程序都可以參與注銷。

id_token_hint
當前用戶的IDToken，此值用來繞過系統提示，無此值時系統會提示用戶是否真的想要注銷。
post_logout_redirect_uri
如果id_token_hint有效傳遞了，則客戶端也可以發送post_logout_redirect_uri參數。這可用于允許用戶在注銷后重定向回客戶端。該值必須與客戶端預先配置的PostLogoutRedirectUris。
state
如果post_logout_redirect_uri有效，則客戶端也可以發送state參數。在用戶重定向回客戶端后，這將作為查詢字符串參數返回給客戶端。這通常由客戶端用于跨重定向的往返狀態。

例

GET /connect/endsession?
    id_token_hint=<當前用戶的IDToken>&
    post_logout_redirect_uri=https://myapp/logout&
    state=abc&

（刪除了URL編碼，并添加了換行符以提高可讀性）

6）刷新令牌之撤消端點(Revocation Endpoint)

地址：https://sso.foxconn.com/connect/revocation
請求方式：POST
Content-Type：application/x-www-form-urlencoded

此端點允許撤消刷新令牌。它實現了令牌撤銷規范（RFC 7009）。

結束會話端點可用于觸發單點注銷（請參閱規范）。

要使用結束會話端點，客戶端應用程序會將用戶的瀏覽器重定向到結束會話URL。用戶在會話期間通過瀏覽器登錄的所有應用程序都可以參與注銷。

token
要撤銷的令牌（必填）
token_type_hint
令牌類型提示（可選）值有：access_token或refresh_token（可選）

例

POST /connect/revocation HTTP/1.1
                Host: server.example.com
                Content-Type: application/x-www-form-urlencoded
                Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
                
                token=45ghiukldjahdnhzdauz&token_type_hint=refresh_token

（刪除了URL編碼，并添加了換行符以提高可讀性）

7）驗證令牌有效性 (很重要)

公鑰地址：https://sso.foxconn.com/.well-known/openid-configuration/jwks
JWT在線工具：https://jwt.io/

注意：此處著重講“JWT令牌”的驗證方法，與“內省端點”功能有所區別。
內省端點(Introspection Endpoint) https://sso.foxconn.com/connect/introspect ，是 RFC 7662的實現。
能驗證“引用令牌”及“JWT令牌”有效性。 (中央授權中心默認使用JWT令牌)
但內省端點只針對API Resource的Scope驗證，且對應的API Resource需設定 APISecret。端點調用說明

中央授權中心的令牌為JWT標準格式，并采用RS256的簽名。

如果您想直接使用JWT搭載的信息（如：sub）做為用戶身份認別，應對JWT簽名進行驗證。WebAPI在使用AccessToken進行權限認證時，都必須驗證JWT令牌有效性。授權中心UserInfo端點已對JWT令牌有效性進行了嚴格的驗證。

客戶端驗證令牌有效性主要有以下幾步：

1) 從JWT搭載的信息中判斷令牌是否在有效期內。
2) 通過公開的公鑰地址獲得公鑰，對JWT簽名部分進行驗證。

參考代碼如下：

using System;
using System.Text;
using System.Security.Cryptography;
namespace sso.foxconn.com
{
class JwtTest
{
static void Main(string[] args)
{
//access_token 或 id_token 值
string jwt = "eyJhbGciOiJSUzI1NiIsImtpZCI6IkY2M0Y0MTU0QkREMUQwQzAyMkVGREUyOTIxMzFDRUQzM0ZBMDJDRTRSUzI1NiIsInR5cCI6ImF0K2p3dCIsIng1dCI6IjlqOUJWTDNSME1BaTc5NHBJVEhPMHotZ0xPUSJ9.eyJuYmYiOjE2NzMyMjk1NzIsImV4cCI6MTY3MzIzMzE3MiwiaXNzIjoiaHR0cHM6Ly9zc28uZm94Y29ubi5jb20iLCJjbGllbnRfaWQiOiJ2b3RlMDEiLCJzdWIiOiJGMzIxODQ2NiIsImF1dGhfdGltZSI6MTY3MzIyNTYyMywiaWRwIjoibG9jYWwiLCJyb2xlcyI6ImFkbWluaXN0cmF0b3JzLGRldmVsb3BlcnMiLCJqdGkiOiJGMzc2QTU4ODVBNDJBMUJDMTQ5NTQ3NUUzNDQ3NDhDRCIsInNpZCI6IjM1Qzg5MEVBQkVBRjI5MERDODJBOUNFMEQyRTg0RTc0IiwiaWF0IjoxNjczMjI5NTcyLCJzY29wZSI6WyJvcGVuaWQiLCJwcm9maWxlIiwiZm94Y29ubiJdLCJhbXIiOlsicXJjb2RlIl19.HxsoMF9u-MQich8QzE4exGUlMzbln4XoVq0KECxd7D6T5Yieku42E7UtzjCbb-wIFgHTeLero6Txo_0wqgi8U_gbh1PGBy0oGA5eqtRJX9dP9Br_SZCIs6M6TRdFzh8tOs-wKw9cTOEoBY4CBL8kYSb26Kl9bP7r8sQ9X9U7jCmfthfSQBDIo9CGb8SRlQfF_r5aEzXViOOHaAEhbxX2x5Ti8Y2Q0QKQyGVmiQZgbcof7rlSGan2sDtgpGougFfanwBhzAQpnEkqB3uTgdZ1F6mVtHIgzF2pZ_e52mZcga2lI-lpSaywBHatGlZ1_0C_p7OQMOGuWpHFa7UCYs0nhg";
//jwt header中有相關設定值，包括kid
string jwt_header = Encoding.UTF8.GetString(UnBase64(jwt.Split('.')[0]));
Console.WriteLine(jwt_header);
//從 jwt header 解碼為JSON格式，獲得kid 此功能略
//// 從 jwt payload （JSON格式），獲得 exp: 過期時間截
//// 與當前時間比較，驗證時間是否過期此功能略
//string jwt_payload = Encoding.UTF8.GetString(UnBase64(jwt.Split('.')[1]));
// 從 https://sso.foxconn.com/.well-known/openid-configuration/jwks
// 找到對應kid的e、n值
string e = "AQAB";
string n = "iTB_vfI_jUHqJcPY9NnuR8oeHyUdWzi00C1OD-yBKm2zKO30FWySnjY8x_xfCYFHjeJKDuqnk07eb8z7_PHIvqDetEkN2n1XzjftgrEb8mZ63-stvI6sh2C_JUfmOtsFsaoODYjD2ApIwbN7-CLpENWCwDTlYhEGUqs6lD8muH03BljjnPxzXtkUkLn6NjPLQE2WZFch_doJf4ZMTi7c42MzNK80hKu_tuBvLD4-bu0F6y_Cwg0OG6Vm2IAYLtlL27pdlmR8bvVNUfz_xZC12NLDTTJSpcvLUEUIh-8M2c8sQ7NUUlK--35CZolNoaahUsDtNbH6-kEbVJ5iCpgB-w";
Console.Write(CheckJWT(jwt, e, n));
}
/// <summary>
/// 驗證JWT
/// </summary>
/// <param name="jwt">Token (JWT格式)</param>
/// <param name="exponent">公鑰-Exponent(e)</param>
/// <param name="modulus">公鑰-Modulus(n)</param>
/// <returns></returns>
public static bool CheckJWT(string jwt, string exponent, string modulus, Encoding encoding = null)
{
string[] strs = jwt.Split('.');
string jwt_header = strs[0];
string jwt_payload = strs[1];
string jwt_sign = strs[2];
return Check(jwt_header + "." + jwt_payload, jwt_sign, exponent, modulus);
}
static bool Check(string OrginString,
string EncryptString,
string exponent,
string modulus,
Encoding encoding = null)
{
RSACryptoServiceProvider rsa = new RSACryptoServiceProvider();
rsa.ImportParameters(
new RSAParameters()
{
Modulus = UnBase64(modulus),
Exponent = UnBase64(exponent)
});
encoding = encoding ?? Encoding.UTF8;
SHA256 sha256 = SHA256.Create();
byte[] hash = sha256.ComputeHash(encoding.GetBytes(OrginString)); //header + '.' + content
RSAPKCS1SignatureDeformatter rsaDeformatter = new RSAPKCS1SignatureDeformatter(rsa);
rsaDeformatter.SetHashAlgorithm("SHA256");
return rsaDeformatter.VerifySignature(hash, UnBase64(EncryptString));
}
static byte[] UnBase64(string value)
{
string result = value.Replace("-", "+").Replace(" ", "+").Replace("_", "/").Replace(".", "/");
int lastLen = result.Length % 4;
if (lastLen != 0)
{
result += new string('=', 4 - lastLen);
}
return Convert.FromBase64String(result);
}
}
}

復制代碼，在線運行一下

import java.math.BigInteger;
import java.nio.charset.StandardCharsets;
import java.security.InvalidKeyException;
import java.security.KeyFactory;
import java.security.NoSuchAlgorithmException;
import java.security.PublicKey;
import java.security.Signature;
import java.security.SignatureException;
import java.security.interfaces.RSAPublicKey;
import java.security.spec.InvalidKeySpecException;
import java.security.spec.RSAPublicKeySpec;
import java.util.Base64;
public class JwtTest {
public static void main(String[] args) {
//access_token 或 id_token 值
String jwt = "eyJhbGciOiJSUzI1NiIsImtpZCI6IkY2M0Y0MTU0QkREMUQwQzAyMkVGREUyOTIxMzFDRUQzM0ZBMDJDRTRSUzI1NiIsInR5cCI6ImF0K2p3dCIsIng1dCI6IjlqOUJWTDNSME1BaTc5NHBJVEhPMHotZ0xPUSJ9.eyJuYmYiOjE2NzMyMjk1NzIsImV4cCI6MTY3MzIzMzE3MiwiaXNzIjoiaHR0cHM6Ly9zc28uZm94Y29ubi5jb20iLCJjbGllbnRfaWQiOiJ2b3RlMDEiLCJzdWIiOiJGMzIxODQ2NiIsImF1dGhfdGltZSI6MTY3MzIyNTYyMywiaWRwIjoibG9jYWwiLCJyb2xlcyI6ImFkbWluaXN0cmF0b3JzLGRldmVsb3BlcnMiLCJqdGkiOiJGMzc2QTU4ODVBNDJBMUJDMTQ5NTQ3NUUzNDQ3NDhDRCIsInNpZCI6IjM1Qzg5MEVBQkVBRjI5MERDODJBOUNFMEQyRTg0RTc0IiwiaWF0IjoxNjczMjI5NTcyLCJzY29wZSI6WyJvcGVuaWQiLCJwcm9maWxlIiwiZm94Y29ubiJdLCJhbXIiOlsicXJjb2RlIl19.HxsoMF9u-MQich8QzE4exGUlMzbln4XoVq0KECxd7D6T5Yieku42E7UtzjCbb-wIFgHTeLero6Txo_0wqgi8U_gbh1PGBy0oGA5eqtRJX9dP9Br_SZCIs6M6TRdFzh8tOs-wKw9cTOEoBY4CBL8kYSb26Kl9bP7r8sQ9X9U7jCmfthfSQBDIo9CGb8SRlQfF_r5aEzXViOOHaAEhbxX2x5Ti8Y2Q0QKQyGVmiQZgbcof7rlSGan2sDtgpGougFfanwBhzAQpnEkqB3uTgdZ1F6mVtHIgzF2pZ_e52mZcga2lI-lpSaywBHatGlZ1_0C_p7OQMOGuWpHFa7UCYs0nhg";
String[] strs = jwt.split("\\.");
//jwt header中有相關設定值，包括kid
String jwt_header = new String(UnBase64(strs[0]), StandardCharsets.UTF_8);
System.out.println(jwt_header);
//從 jwt header 解碼為JSON格式，獲得kid 此功能略
//// 從 jwt payload （JSON格式），獲得 exp: 過期時間截
//// 與當前時間比較，驗證時間是否過期此功能略
//String jwt_payload = new String(
// UnBase64(strs[1]),
// StandardCharsets.UTF_8
//);
// 從 https://sso.foxconn.com/.well-known/openid-configuration/jwks
// 找到對應kid的e、n值
String e = "AQAB";
String n = "iTB_vfI_jUHqJcPY9NnuR8oeHyUdWzi00C1OD-yBKm2zKO30FWySnjY8x_xfCYFHjeJKDuqnk07eb8z7_PHIvqDetEkN2n1XzjftgrEb8mZ63-stvI6sh2C_JUfmOtsFsaoODYjD2ApIwbN7-CLpENWCwDTlYhEGUqs6lD8muH03BljjnPxzXtkUkLn6NjPLQE2WZFch_doJf4ZMTi7c42MzNK80hKu_tuBvLD4-bu0F6y_Cwg0OG6Vm2IAYLtlL27pdlmR8bvVNUfz_xZC12NLDTTJSpcvLUEUIh-8M2c8sQ7NUUlK--35CZolNoaahUsDtNbH6-kEbVJ5iCpgB-w";
System.out.println(CheckJWT(jwt, e, n));
}
/// <summary>
/// 驗證JWT
/// </summary>
/// <param name="jwt">Token (JWT格式)</param>
/// <param name="exponent">公鑰-Exponent(e)</param>
/// <param name="modulus">公鑰-Modulus(n)</param>
/// <returns></returns>
public static boolean CheckJWT(String jwt, String exponent, String modulus) {
String[] strs = jwt.split("\\.");
String jwt_header = strs[0];
String jwt_payload = strs[1];
String jwt_sign = strs[2];
return Check(jwt_header + "." + jwt_payload, jwt_sign, exponent, modulus);
}
static boolean Check(
String orginString,
String encryptString,
String exponent,
String modulus
) {
try {
byte[] signData = UnBase64(encryptString);
PublicKey publicKey = getPublicKey(modulus, exponent);
Signature st = Signature.getInstance("SHA256withRSA");
st.initVerify(publicKey);
st.update(orginString.getBytes());
return st.verify(signData);
} catch (NoSuchAlgorithmException
| SignatureException
| InvalidKeyException ex) {
return false;
}
}
static byte[] UnBase64(String value) {
String result = value.replaceAll("\\-", "+").replaceAll("\\s", "+")
.replaceAll("\\_", "/").replaceAll("\\.", "/");
int lastLen = result.length() % 4;
if (lastLen != 0) {
for (int n = 0; n < 4 - lastLen; n++) {
result += "=";
}
}
return Base64.getDecoder().decode(result);
}
static PublicKey getPublicKey(String modulus, String exponent) {
try {
byte[] m = UnBase64(modulus);
byte[] e = UnBase64(exponent);
BigInteger B_modulus = new BigInteger(1, m);
BigInteger B_exponent = new BigInteger(1, e);
KeyFactory keyFactory = null;
keyFactory = KeyFactory.getInstance("RSA");
RSAPublicKeySpec keySpec = new RSAPublicKeySpec(B_modulus, B_exponent);
return (RSAPublicKey) keyFactory.generatePublic(keySpec);
} catch (InvalidKeySpecException | NoSuchAlgorithmException ex) {
return null;
}
}
}

復制代碼，在線運行一下

<?php
//請確保已將 phpseclib 庫正確安裝到您的 PHP 環境中
use phpseclib\Crypt\RSA;
function CheckJWT($jwt, $exponent, $modulus, $encoding = null) {
$strs = explode('.', $jwt);
$jwt_header = $strs[0];
$jwt_payload = $strs[1];
$jwt_sign = $strs[2];
return Check($jwt_header . "." . $jwt_payload, $jwt_sign, $exponent, $modulus, $encoding);
}
function Check($OrginString, $EncryptString, $exponent, $modulus, $encoding = null) {
$rsa = new \phpseclib\Crypt\RSA();
$rsa->loadKey(array(
'n' => UnBase64($modulus),
'e' => UnBase64($exponent)
));
$encoding = $encoding ?: 'UTF-8';
$sha256 = new \phpseclib\Crypt\Hash('sha256');
$hash = $sha256->hash($OrginString, 'raw');
$rsa->setHash('sha256');
$rsa->setSignatureMode(\phpseclib\Crypt\RSA::SIGNATURE_PKCS1);
return $rsa->verify($hash, UnBase64($EncryptString));
}
function UnBase64($value) {
$result = str_replace(array('-', ' ', '_', '.'), array('+', '+', '/', '/'), $value);
$lastLen = strlen($result) % 4;
if ($lastLen != 0) {
$result .= str_repeat('=', 4 - $lastLen);
}
return base64_decode($result);
}
//access_token 或 id_token 值
$jwt = "eyJhbGciOiJSUzI1NiIsImtpZCI6IkY2M0Y0MTU0QkREMUQwQzAyMkVGREUyOTIxMzFDRUQzM0ZBMDJDRTRSUzI1NiIsInR5cCI6ImF0K2p3dCIsIng1dCI6IjlqOUJWTDNSME1BaTc5NHBJVEhPMHotZ0xPUSJ9.eyJuYmYiOjE2NzMyMjk1NzIsImV4cCI6MTY3MzIzMzE3MiwiaXNzIjoiaHR0cHM6Ly9zc28uZm94Y29ubi5jb20iLCJjbGllbnRfaWQiOiJ2b3RlMDEiLCJzdWIiOiJGMzIxODQ2NiIsImF1dGhfdGltZSI6MTY3MzIyNTYyMywiaWRwIjoibG9jYWwiLCJyb2xlcyI6ImFkbWluaXN0cmF0b3JzLGRldmVsb3BlcnMiLCJqdGkiOiJGMzc2QTU4ODVBNDJBMUJDMTQ5NTQ3NUUzNDQ3NDhDRCIsInNpZCI6IjM1Qzg5MEVBQkVBRjI5MERDODJBOUNFMEQyRTg0RTc0IiwiaWF0IjoxNjczMjI5NTcyLCJzY29wZSI6WyJvcGVuaWQiLCJwcm9maWxlIiwiZm94Y29ubiJdLCJhbXIiOlsicXJjb2RlIl19.HxsoMF9u-MQich8QzE4exGUlMzbln4XoVq0KECxd7D6T5Yieku42E7UtzjCbb-wIFgHTeLero6Txo_0wqgi8U_gbh1PGBy0oGA5eqtRJX9dP9Br_SZCIs6M6TRdFzh8tOs-wKw9cTOEoBY4CBL8kYSb26Kl9bP7r8sQ9X9U7jCmfthfSQBDIo9CGb8SRlQfF_r5aEzXViOOHaAEhbxX2x5Ti8Y2Q0QKQyGVmiQZgbcof7rlSGan2sDtgpGougFfanwBhzAQpnEkqB3uTgdZ1F6mVtHIgzF2pZ_e52mZcga2lI-lpSaywBHatGlZ1_0C_p7OQMOGuWpHFa7UCYs0nhg";
//jwt header中有相關設定值，包括kid
$jwt_header = utf8_encode(base64_decode(explode('.', $jwt)[0]));
echo $jwt_header . "\n";
//從 jwt header 解碼為JSON格式，獲得kid 此功能略
// 從 jwt payload （JSON格式），獲得 exp: 過期時間截
// 與當前時間比較，驗證時間是否過期此功能略
$jwt_payload = utf8_encode(base64_decode(explode('.', $jwt)[1]));
echo $jwt_payload;
// 從 https://sso.foxconn.com/.well-known/openid-configuration/jwks
// 找到對應kid的e、n值
$e = "AQAB";
$n = "iTB_vfI_jUHqJcPY9NnuR8oeHyUdWzi00C1OD-yBKm2zKO30FWySnjY8x_xfCYFHjeJKDuqnk07eb8z7_PHIvqDetEkN2n1XzjftgrEb8mZ63-stvI6sh2C_JUfmOtsFsaoODYjD2ApIwbN7-CLpENWCwDTlYhEGUqs6lD8muH03BljjnPxzXtkUkLn6NjPLQE2WZFch_doJf4ZMTi7c42MzNK80hKu_tuBvLD4-bu0F6y_Cwg0OG6Vm2IAYLtlL27pdlmR8bvVNUfz_xZC12NLDTTJSpcvLUEUIh-8M2c8sQ7NUUlK--35CZolNoaahUsDtNbH6-kEbVJ5iCpgB-w";
echo CheckJWT($jwt, $e, $n);
?>

復制代碼，在線運行一下

基本的驗證方式

編碼	名稱	說明
qrcode	相信掃碼	使用相信APP掃碼驗證
fxOtp	口令牌	使用相信動態口令牌驗證
password	密碼	使用相信密碼驗證
fxOtpPwd	密碼及口令牌	使用相信密碼及相信動態口令牌驗證
totp	Totp	使用小程序“相信TOTP”生成的動態碼驗證（多用于二次認證）
sms	手機短信	使用手機短信驗證碼驗證（多用于二次認證）
fido	FIDO2設備	使用注冊過的FIDO2設備驗證（多用于二次認證）
faced	人臉識別	使用Web端的人臉識別驗證

其它的驗證方式

編碼	名稱	說明
mobile	相信APP內	在相信APP內直接打開頁面自動驗證
iframe	Iframe	使用iframe_authz端點進行的驗證
qrcode_c	自定義掃碼	自定義掃碼驗證（多用戶公共賬號登錄）
jsScan	JS掃碼登錄	用戶掃描JS呈現的二維碼（方便樣式控制）

中央授權中心發起的二次驗證

授權端點(Authorize Endpoint)，傳入參數login_type = 2FA 時，中央授權中心將發起二次驗證。
此時要求用戶選擇項“相信驗證方式驗證”再通過“非相信驗證方式驗證”，開發人員也可以通過添加參數fa來控制驗證的方式。 fa為可選參數，默認值為qrcode/fxOtp/fxOtpPwd/password,totp/sms/fido/faced，值只能是基本的驗證方式按此格式的組合。

示例

POST /connect/userinfo        HTTP/1.1
    Authorization: Basic <base64(ApiResourceName|ApiResourceSecret)>
    Content-Type: application/x-www-form-urlencoded
    Accept: application/json  

    token=<access_token>

成功的響應將返回狀態代碼200以及活動或非活動令牌：

{
    "nbf": <生成時間截>,
    "exp": <失效時間截>,
    "iss": "https://sso.foxconn.com",
    "aud": "<APIResourceName>",
    "client_id": "<使用的client_id>",
    "sub": "<用户名（client credentials模式无此值）>",
    "active": true,
    "scope": "<API Scope>"
}

未知或過期的令牌將被標記為無效：

{
    "active": false
}

無效請求將返回400，未授權請求401。

中央授權中心OIDC支持

1）發現端點(Discovery Endpoint)

2）授權端點(Authorize Endpoint)

3）令牌端點(Token Endpoint)

4）UserInfo端點(UserInfo Endpoint)

5）結束會話端點(End Session Endpoint)

6）刷新令牌之撤消端點(Revocation Endpoint)

7）驗證令牌有效性 (很重要)

界面效果圖

簽名範例

驗證方式（AuthenticationMethod/amr）

基本的驗證方式

其它的驗證方式

中央授權中心發起的二次驗證

內省端點(Introspection Endpoint) 調用方法