集成企业SSO登陆-企业端实现示例（baklib max）

通过接口或登录组织管理后台创建第三方集成 '企业 SSO 登陆'
配置参数：

账号绑定

待登录用户与‘企业 SSO’绑定后，才可通过‘企业 SSO’登录

• 方式一: 通过登录组织管理后台绑定；在用户个人信息中，'账号绑定'页面点击已添加的第三方集成 ‘企业 SSO’，进行绑定操作。
• 方式二: 通过接口绑定

企业生成的应用ID和应用密钥，并自行记录存储。请妥善保管，不要泄露给其他人。

  # 例：
  app_id = SecureRandom.hex(6) # 80143325e07e 应用ID
  app_secret = SecureRandom.hex(16) # 5b4d3b33104060e8c0f25ceb977238f4 应用密钥

企业服务内部需要实现授权地址、Token地址、用户信息地址的接口，用于企业 SSO 登陆的授权、token获取、用户信息获取。

1. 实现授权地址接口

   • 方法：GET
   • 域名：http://localhost:4001； 企业服务自己的域名
   • 地址：/oauth/authorize 自行定义路由，此仅为示例
   • 接收参数：

     参数名	解释	示例值
     client_id	应用ID	'80143325e07e'
     redirect_uri	baklib回调地址	http://5b85664828c1.lvh.me:3000/-/oauth/corp/callback
     response_type	授权类型（固定值）	code
     scope	范围	all
     state	来源验证参数	59b595c37704c0b67a95d949bd9f7d31889cc53df3a43271

   • 返回参数：重定向到回调地址，并带上code和state参数
   • 实现示例：

     class OauthController < ApplicationController
       def authorize
         # 校验client_id（自行处理）
         app = App.find_by(client_id: params[:client_id])
         unless app
           return render json: {error: "client_id参数错误"}, status: 400
         end
         # 检查redirect_uri是否合法（自行处理）
         host = URI.parse(params[:redirect_uri]).host
         unless app.redirect_uris.include?(host)
           return render json: {error: "redirect_uri参数错误"}, status: 400
         end
         # 检查response_type是否为code, scope是否为all或者app.scope，state是否合法（自行处理）
     
         # 通过cookie或者session获取企业当前登录的用户信息（自行处理）
         # 或直接跳转到企业自己的登录页面，登录成功后，再跳转回来
         user = User.find_by(cookies[:user_id])
         if user
           # 生成code，存储到redis中，用于token地址接口校验
           code = SecureRandom.hex(6)
           $redis.set("authorize_code:#{code}", user.id)
           # 设置过期时间
           $redis.expire("code:#{code}", 300)
         else
           return redirect_to '企业自己的登录页面地址'
         end
     
         # 校验通过后，重定向到回调地址，并带上code和state参数（必须）
         # 完整的回调地址为：http://5b85664828c1.lvh.me:3000/-/oauth/corp/callback?code=aaa-bbb-ccc&state=59b595c37704c0b67a95d949bd9f7d31889cc53df3a43271
         redirect_to "#{params[:redirect_uri]}?code=#{code}&state=#{params[:state]}", allow_other_host: true
       end
     end
     

2. 实现Token地址接口

   • 方法：POST
   • 域名：http://localhost:4001； 企业服务自己的域名
   • 地址：/oauth/token 自行定义路由，此仅为示例
   • 接收参数：

     参数名	解释	示例值
     code	授权码，授权地址接口返回的code	aaa-bbb-ccc
     grant_type	授权类型（固定值）	authorization_code
     redirect_uri	baklib回调地址	http://5b85664828c1.lvh.me:3000/-/oauth/corp/callback

   • 返回参数：

     参数名	解释	示例值	是否必填
     access_token	token, 自行生成用于后续获取用户信息	2YotnFZFEjr1zCsicMWpAA	必填
     token_type	token类型（固定值）	bearer	必填
     expires_in	token有效期，单位秒	3600	必填
     scope	token权限范围	public	必填

   • 实现示例：

     class OauthController < ApplicationController
       skip_before_action :verify_authenticity_token, only: [:token]
       def token
         # 校验code是否合法（自行处理）
         user_id = $redis.get("authorize_code:#{params[:code]}")
         user = User.find_by(user_id)
         unless user
           return render json: {error: "code参数错误"}, status: 400
         end
     
         # 校验请求来源是否合法（自行处理）
         # 略....
     
         # 校验grant_type是否为authorization_code
         # 略....
     
         # 校验通过后，删除code（必须）
         $redis.del("authorize_code:#{params[:code]}")
     
         # 生成token，存储到redis中，用于用户信息地址接口校验(自行处理)
         # 设置过期时间
         token = SecureRandom.hex(16)
         $redis.set("token:#{token}", user.id)
         expires_in = 3600
         $redis.expire("token:#{token}", expires_in)
     
         # 校验通过后，返回json数据（必须）
         render json: {
           "access_token": token, # token
           "token_type": "bearer", # 此token的类型，固定为bearer
           "expires_in": expires_in, # 此token的有效期，单位秒
           "scope": "public" # 此token的权限范围，自行定义
         }
       end
     end
     

3. 实现用户信息地址接口

   • 方法：GET
   • 域名：http://localhost:4001； 企业服务自己的域名
   • 地址：/profile 自行定义路由，此仅为示例
   • 接收参数：token是通过HTTP头部传递，所以无需接收参数
   • 返回参数：id, name, image等字段('第三方集成'中配置的映射的字段名)
   • 实现示例：

     class ProfileController < ApplicationController
       def show
         # 校验token是否合法（自行处理）
         user_id = $redis.get("token:#{request.headers["AUTHORIZATION"].split(" ")[1]}")
         user = User.find_by(id: user_id)
         unless user
           return render json: {error: "token参数错误"}, status: 400
         end
     
         # 校验通过后，返回用户信息
         # 格式为json，字段为 ‘企业 SSO 登陆 配置’ 中映射的字段，建议全部填写并返回
         render json: {
           id: user.id, # 1
           name: user.name, # "小明"
           image: user.image # "http://xxx.com/avatar.jpg"
         }
       end
     end