所有痛点本质上都是没有统一身份认证导致的：

• 每个系统独立管理用户，导致账号密码爆炸
• 没有中心化的权限控制，导致账号删不干净
• 各系统登录机制不统一，导致对接困难
• 会话管理各自为政，导致用户体验差

解决方案：用一套企业级SSO（单点登录）系统统一管理所有应用的登录和权限，而OIDC授权码模式就是目前最成熟、最安全、生态最好的实现方案。

1. 你去银行申请：你带着身份证去银行，说"我要贷款买房"（对应：用户点击登录按钮）
2. 银行验证你的身份：银行核对你的身份证、征信记录、收入证明（对应：SSO服务器验证用户名密码）
3. 银行给你一张预批函：验证通过后，银行给你一张"预批函"，上面写着"此人通过审核，可以贷款"（对应：SSO服务器给你一个authorization code）
4. 你拿着预批函去开发商那：你把预批函交给房地产开发商（对应：前端把code发给后端）
5. 开发商去银行验证并取钱：开发商拿着你的预批函 + 他们的公章（client_secret）去银行，银行核实无误后把钱打给开发商（对应：后端用code + client_secret去SSO服务器换Token）
6. 你住进新房：钱到位，你正式入住（对应：后端用Token验证用户身份，允许访问系统）

1. 办卡验证身份：你提供手机号、身份证，餐厅给你开卡（对应：登录验证）
2. 卡上印着你的信息：会员卡上有你的姓名、会员等级、余额（对应：Token里包含用户信息）
3. 每次进店出示卡：以后每次来吃饭，你出示会员卡，服务员扫一下就知道你是谁、有什么权益（对应：每次请求带上Token，后端中间件解析Token获取用户信息）
4. 卡有有效期：会员卡有效期1年，过期需要续费（对应：Token有效期，过期需要刷新或重新登录）
5. 卡可以挂失：卡丢了可以挂失重办（对应：Token泄露可以撤销）

1. 验证用户身份（核对你的身份证）
   • 本地用户：查数据库验证账号密码（银行自己的客户）
   • 外部用户：调用配置的身份源API验证（通过其他机构验证，比如公积金中心）
2. 检查应用访问权限（检查你有没有资格贷款）
   • 查看该用户是否被分配了lowcode这个应用的access角色（你的征信分够不够）
   • 有角色 → 允许登录（征信通过，给预批函）
   • 无角色 → 拒绝，提示"无权访问该应用"（征信不行，拒贷）

• 张三访问ERP系统时，输入zhangsan/password123能登录
• 张三访问财务系统时，输入zhangsan/password123被拒绝
• 换成zhangsan/finance@2024才能访问财务系统
• 但此时张三发现OA系统又登不上了...

核心问题：密码不一致导致身份切换频繁，用户体验极差。

方案1：身份源优先级配置（以Keycloak为例）

# 身份源配置
identity-providers:
  - name: local-database
    priority: 100           # 最高优先级
    type: local

  - name: ad-domain
    priority: 80            # 次优先级
    type: ldap
    url: ldap://ad.company.com

  - name: finance-system
    priority: 60            # 较低优先级
    type: oidc
    issuer: https://finance.company.com

方案2：权限合并配置

# 权限合并策略
authorization:
  merge-strategy: union    # union=合并  intersection=取交集
  conflict-resolution:
    - type: role-level     # 角色级别冲突
      action: use-higher   # 使用更高权限
    - type: scope-level    # 范围级别冲突
      action: merge-all    # 全部合并

方案3：用户选择界面（前端实现）

// 检测到多个可用身份时，展示选择页面
if (availableIdentities.length > 1) {
  showIdentitySelector({
    identities: [
      { id: 'local', name: '公司账号', icon: 'building' },
      { id: 'finance', name: '财务系统账号', icon: 'wallet' }
    ],
    onSelect: (identityId) => {
      // 在Token请求中带上身份标识
      loginWithIdentity(username, password, identityId);
    }
  });
}

说明：以下是假设性示例场景，用于说明身份源合并策略可能带来的安全风险。

假设背景：某快速发展的电商公司（员工500人），配置了3个身份源：

• 企业微信 - 公司全员使用，日常办公通讯
• 钉钉系统 - 财务部门使用，包含薪资、报销、审批等敏感功能
• 外包供应商VPN账号系统 - 管理技术外包团队的远程接入

初始配置：公司为了方便员工登录，配置了"身份源自动合并策略"，系统会将姓名相同的账号自动视为同一人（这是一个非常危险的配置）。

潜在风险演示（讲个真实故事）：

1. 外包开发"张伟"入职：公司为他开通了企业微信账号和VPN账号，方便远程工作
2. 系统自动合并账号：财务部有个离职员工也叫"张伟"，钉钉账号一直没删除。系统检测到两个身份源中都有"张伟"这个名字，就自动把外包张伟的企业微信账号和离职张伟的钉钉账号合并了
3. 权限失控的隐患：外包张伟用企业微信扫码登录时，意外继承了离职员工在钉钉系统中的所有权限：
   • 能查看全公司500人的工资明细
   • 能发起金额不限的费用报销申请
   • 能代替财务总监审批百万级采购订单
   • 能查看公司所有银行账户的余额和流水
4. 发现时已晚：公司财务审计时才发现外包人员拥有财务系统最高权限，此时已经过去了n个月

改进方案：

1. 身份源严格隔离：不同业务系统的身份源不自动合并，特别是涉及敏感数据的系统
2. 离职账号及时清理：建立员工离职时的账号清理流程，确保所有系统账号同步停用
3. 最小权限原则：新员工账号默认只给最基础权限，按需申请额外权限
4. 实时权限监控告警：当账号权限发生变化时（特别是权限增加），立即发送告警通知给管理员

经验总结：身份源合并就像打开了权限失控的潘多拉魔盒，一个简单的同名账号，就可能让外包商变成"超级管理员"，掌握公司最核心的财务数据。千万不要为了方便而牺牲安全，特别是涉及薪资、财务等敏感系统时。

本文所述流程基于OIDC标准协议，适用于所有OIDC兼容的认证服务器。配置参数名称可能略有差异，但核心流程完全一致。

A: 安全考虑。code通过URL传递（用户可见），但换Token需要client_secret（存在后端，用户看不到）。这确保了即使code被截获，攻击者也无法获取Token。

A: 有两种方案：

1. 使用refresh_token换取新的access_token（推荐）
2. 让用户重新登录

A: 通过"身份源"（Identity Provider / User Federation）配置。认证服务器登录时会调用身份源API验证用户，验证通过后生成Token。

A: 通过用户组关联应用。用户组绑定了哪些应用的access角色，组内用户就能访问哪些应用。

前提：你的电脑已经安装了Docker（没装的话去 https://www.docker.com/ 下载）

1. 启动Keycloak容器（1分钟）

# 拉取Keycloak镜像并启动（使用最新稳定版）
docker run -d \
  --name keycloak \
  -p 8080:8080 \
  -e KEYCLOAK_ADMIN=admin \
  -e KEYCLOAK_ADMIN_PASSWORD=admin123 \
  quay.io/keycloak/keycloak:latest \
  start-dev

# 等待30秒，让Keycloak启动完成
sleep 30

# 检查容器是否正常运行
docker ps | grep keycloak

2. 访问管理后台（1分钟）

• 浏览器打开：http://localhost:8080
• 点击右上角【Administration Console】
• 用户名：admin，密码：admin123

3. 创建应用Client（5分钟）

1. 点击左侧菜单【Clients】→ 点击【Create client】
2. 填写Client ID：my-app → 点击【Next】
3. 开启【Client authentication】和【Authorization】 → 点击【Next】
4. 填写Valid redirect URIs：http://localhost:3000/* → 点击【Save】
5. 点击【Credentials】标签页，复制Client secret（后面要用）

4. 创建测试用户（3分钟）

1. 点击左侧菜单【Users】→ 点击【Add user】
2. 填写Username：testuser，Email：test@example.com → 点击【Create】
3. 点击【Credentials】标签页 → 点击【Set password】
4. 输入密码：123456，关闭【Temporary】开关 → 点击【Save】

✅ 第一步完成！你的SSO服务器已经跑起来了。

1. 安装依赖（1分钟）

npm install express keycloak-connect express-session

2. 创建后端服务（5分钟）

// server.js
const express = require('express');
const session = require('express-session');
const Keycloak = require('keycloak-connect');

const app = express();
const memoryStore = new session.MemoryStore();

// Session配置
app.use(session({
  secret: 'my-secret',
  resave: false,
  saveUninitialized: true,
  store: memoryStore
}));

// Keycloak配置
const keycloak = new Keycloak({ store: memoryStore }, {
  realm: 'master',                        // Realm名称
  'auth-server-url': 'http://localhost:8080/',
  'ssl-required': 'none',
  resource: 'my-app',                     // Client ID
  'credentials': {
    'secret': '你的Client Secret'         // 替换成你刚才复制的secret
  }
});

app.use(keycloak.middleware());

// 公开接口（不需要登录）
app.get('/health', (req, res) => {
  res.json({ status: 'ok' });
});

// 受保护接口（需要登录）
app.get('/api/data', keycloak.protect(), (req, res) => {
  res.json({
    message: '恭喜你！SSO认证成功！',
    user: req.kauth.grant.access_token.content
  });
});

app.listen(3001, () => {
  console.log('后端服务启动成功：http://localhost:3001');
});

3. 启动后端服务（1分钟）

node server.js

4. 测试受保护接口（3分钟）

# 直接访问（应该返回401或重定向到登录页）
curl http://localhost:3001/api/data

# 先登录获取Token，再访问（会返回用户信息）
# 具体流程见前端集成部分

✅ 第二步完成！后端中间件已经集成。

1. 创建前端HTML（5分钟）

<!-- index.html -->
<!DOCTYPE html>
<html>
<head>
  <title>SSO测试页面</title>
</head>
<body>
  <h1>SSO登录测试</h1>
  <div id="status">未登录</div>
  <button onclick="login()">点击登录</button>
  <button onclick="getData()">获取数据（需要登录）</button>
  <pre id="result"></pre>

  <script>
    const KEYCLOAK_URL = 'http://localhost:8080';
    const CLIENT_ID = 'my-app';
    const REDIRECT_URI = 'http://localhost:3000';

    // 登录函数
    function login() {
      const authUrl = `${KEYCLOAK_URL}/realms/master/protocol/openid-connect/auth?` +
        `client_id=${CLIENT_ID}&` +
        `redirect_uri=${encodeURIComponent(REDIRECT_URI)}&` +
        `response_type=code&` +
        `scope=openid`;
      window.location.href = authUrl;
    }

    // 获取URL中的code参数
    function getCodeFromUrl() {
      const params = new URLSearchParams(window.location.search);
      return params.get('code');
    }

    // 用code换Token
    async function exchangeToken(code) {
      const response = await fetch('http://localhost:3001/api/auth/token', {
        method: 'POST',
        headers: { 'Content-Type': 'application/json' },
        body: JSON.stringify({ code })
      });
      const data = await response.json();
      localStorage.setItem('access_token', data.access_token);
      return data.access_token;
    }

    // 调用受保护接口
    async function getData() {
      const token = localStorage.getItem('access_token');
      if (!token) {
        alert('请先登录！');
        return;
      }

      const response = await fetch('http://localhost:3001/api/data', {
        headers: {
          'Authorization': `Bearer ${token}`
        }
      });

      const data = await response.json();
      document.getElementById('result').textContent = JSON.stringify(data, null, 2);
    }

    // 页面加载时检查是否有code参数
    window.onload = async () => {
      const code = getCodeFromUrl();
      if (code) {
        document.getElementById('status').textContent = '正在登录...';
        try {
          await exchangeToken(code);
          document.getElementById('status').textContent = '登录成功！';
          // 清除URL中的code参数
          window.history.replaceState({}, document.title, "/");
        } catch (error) {
          document.getElementById('status').textContent = '登录失败：' + error.message;
        }
      } else if (localStorage.getItem('access_token')) {
        document.getElementById('status').textContent = '已登录';
      }
    };
  </script>
</body>
</html>

2. 启动前端服务（1分钟）

# 使用Python快速启动HTTP服务器
python3 -m http.server 3000

# 或使用Node.js的http-server
npx http-server -p 3000

3. 测试完整登录流程（4分钟）

1. 浏览器打开：http://localhost:3000
2. 点击【点击登录】按钮 → 跳转到Keycloak登录页
3. 输入用户名：testuser，密码：123456 → 点击【Sign In】
4. 自动跳回前端页面，显示"登录成功！"
5. 点击【获取数据】按钮 → 看到返回的用户信息

✅ 第三步完成！完整的SSO登录流程跑通了！