Authentication 用于golang应用的Keyclope适配器

我将使用keydove保护我的golang应用程序，但keydove本身不支持go语言

github中有一些go Adapter作为一个开放项目实现了openId连接协议作为一个提供者服务，但它们没有提供如何将库与应用程序集成的示例或文档

---

我如何使用golang与Key斗篷交互？

正如您所指出的，golang没有官方的Key斗篷适配器。 但是实现它是非常直接的。这里有一个小通道

密钥斗篷服务器 对于本例，我将使用官方的KeyClope docker映像启动服务器。 使用的版本是4.1.0.Final。但我认为这也适用于较旧的KeyClope版本

docker run -d -p 8080:8080 -e KEYCLOAK_USER=keycloak -e KEYCLOAK_PASSWORD=k --name keycloak jboss/keycloak:4.1.0.Final

服务器启动并运行后，您可以在浏览器中打开

localhost:8080/auth

，导航到管理控制台，并使用用户名

keydove

和

k

作为相应密码登录

我不会经历创建领域/客户机/用户的完整过程。你可以在下面查这个

下面是我为重现此示例所做的工作的概要：

创建一个名为

demo

关闭此领域对ssl的要求（realmsettings->login->requiressl）

创建名为

演示客户端的客户端（将“访问类型”更改为机密）

创建一个名为demo的用户，使用密码demo（用户->添加用户）。确保激活并模拟此用户

将演示客户端配置为机密，并使用

http://localhost:8181/demo/callback

作为有效的重定向URI

生成的keydape.json（从安装选项卡获得）如下所示：

{
    "realm": "demo",
    "auth-server-url": "http://localhost:8080/auth",
    "ssl-required": "none",
    "resource": "demo-client",
    "credentials": {
        "secret": "cbfd6e04-a51c-4982-a25b-7aaba4f30c81"
    },
    "confidential-port": 0
}

但要注意，你的秘密会有所不同

Go服务器 让我们转到go服务器。我使用

github.com/coreos/go-oidc

包进行重物搬运：

package main

import (
    "context"
    "encoding/json"
    "log"
    "net/http"
    "strings"

    oidc "github.com/coreos/go-oidc"
    "golang.org/x/oauth2"
)

func main() {
    configURL := "http://localhost:8080/auth/realms/demo"
    ctx := context.Background()
    provider, err := oidc.NewProvider(ctx, configURL)
    if err != nil {
        panic(err)
    }

    clientID := "demo-client"
    clientSecret := "cbfd6e04-a51c-4982-a25b-7aaba4f30c81"

    redirectURL := "http://localhost:8181/demo/callback"
    // Configure an OpenID Connect aware OAuth2 client.
    oauth2Config := oauth2.Config{
        ClientID:     clientID,
        ClientSecret: clientSecret,
        RedirectURL:  redirectURL,
        // Discovery returns the OAuth2 endpoints.
        Endpoint: provider.Endpoint(),
        // "openid" is a required scope for OpenID Connect flows.
        Scopes: []string{oidc.ScopeOpenID, "profile", "email"},
    }
    state := "somestate"

    oidcConfig := &oidc.Config{
        ClientID: clientID,
    }
    verifier := provider.Verifier(oidcConfig)

    http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
        rawAccessToken := r.Header.Get("Authorization")
        if rawAccessToken == "" {
            http.Redirect(w, r, oauth2Config.AuthCodeURL(state), http.StatusFound)
            return
        }

        parts := strings.Split(rawAccessToken, " ")
        if len(parts) != 2 {
            w.WriteHeader(400)
            return
        }
        _, err := verifier.Verify(ctx, parts[1])

        if err != nil {
            http.Redirect(w, r, oauth2Config.AuthCodeURL(state), http.StatusFound)
            return
        }

        w.Write([]byte("hello world"))
    })

    http.HandleFunc("/demo/callback", func(w http.ResponseWriter, r *http.Request) {
        if r.URL.Query().Get("state") != state {
            http.Error(w, "state did not match", http.StatusBadRequest)
            return
        }

        oauth2Token, err := oauth2Config.Exchange(ctx, r.URL.Query().Get("code"))
        if err != nil {
            http.Error(w, "Failed to exchange token: "+err.Error(), http.StatusInternalServerError)
            return
        }
        rawIDToken, ok := oauth2Token.Extra("id_token").(string)
        if !ok {
            http.Error(w, "No id_token field in oauth2 token.", http.StatusInternalServerError)
            return
        }
        idToken, err := verifier.Verify(ctx, rawIDToken)
        if err != nil {
            http.Error(w, "Failed to verify ID Token: "+err.Error(), http.StatusInternalServerError)
            return
        }

        resp := struct {
            OAuth2Token   *oauth2.Token
            IDTokenClaims *json.RawMessage // ID Token payload is just JSON.
        }{oauth2Token, new(json.RawMessage)}

        if err := idToken.Claims(&resp.IDTokenClaims); err != nil {
            http.Error(w, err.Error(), http.StatusInternalServerError)
            return
        }
        data, err := json.MarshalIndent(resp, "", "    ")
        if err != nil {
            http.Error(w, err.Error(), http.StatusInternalServerError)
            return
        }
        w.Write(data)
    })

    log.Fatal(http.ListenAndServe("localhost:8181", nil))
}

此程序启动具有两个端点的常规http服务器。第一个（“/”）是处理 应用程序逻辑。在本例中，它只向您的客户机返回“hello world”

第二个端点（“/demo/callback”）用作keydepeat的回调。此端点需要在您的计算机上注册 密钥斗篷服务器。成功进行用户身份验证后，KeyClope将重定向到此回调URL。重定向包含一些额外的查询参数。这些参数包含可用于获取访问/id令牌的代码

验证您的设置 为了测试此设置，您可以打开webbrowser和navitage以

http://localhost:8181

。 请求应该到达您的go服务器，该服务器尝试对您进行身份验证。由于您没有发送令牌，go服务器 将重定向到keydape进行身份验证。 您应该会看到KeyClope的登录屏幕。使用您为此领域创建的演示用户登录（演示/演示）。 如果您正确配置了KeyClope，它将对您进行身份验证，并将您重定向到go服务器回调

最终结果应该是这样的json

{
    "OAuth2Token": {
        "access_token": "eyJhbGciOiJSUzI1NiIsInR5cCIgOiAiSldUIiwia2lkIiA6ICJsc1hHR2VxSmx3UUZweWVYR0x6b2plZXBYSEhXUngtTHVJTVVLdDBmNmlnIn0.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.KERz8rBddxM9Qho3kgigX-fClWqbKY-3JcWT3JOQDoLa-prkorfa40BWlyf9ULVgjzT2d8FLJpqQIQYvucKU7Q7vFBVIjTGucUZaE7b6JGMea5H34A1i-MNm7L2CzDJ2GnBONhNwLKoftTSl0prbzwkzcVrps-JAZ6L2gssSa5hBBGJYBKAUfm1OIb57Jq0vzro3vLghZ4Ay7iNunwfcHUrxiFJfUjaU6PQwzrA5pnItOPuavJFUgso7-3JLtn3X9GQuyyZKrkDo6-gzU0JZmkQQzAXXgt43NxooryImuacwSB5xbIKY6qFkedldoOPehld1-oLv0Yy_FIwEad3uLw",
        "token_type": "bearer",
        "refresh_token": "eyJhbGciOiJSUzI1NiIsInR5cCIgOiAiSldUIiwia2lkIiA6ICJsc1hHR2VxSmx3UUZweWVYR0x6b2plZXBYSEhXUngtTHVJTVVLdDBmNmlnIn0.eyJqdGkiOiI0MjdmMTlhYy1jMTkzLTQ2YmQtYWFhNi0wY2Q1OTI5NmEwMGQiLCJleHAiOjE1MzIxNzUxNTIsIm5iZiI6MCwiaWF0IjoxNTMyMTczMzUyLCJpc3MiOiJodHRwOi8vbG9jYWxob3N0OjgwODAvYXV0aC9yZWFsbXMvZGVtbyIsImF1ZCI6ImRlbW8tY2xpZW50Iiwic3ViIjoiMzgzMzhjOGItYWQ3Zi00NjlmLTgzOTgtMTc5ODk1ODFiYTEyIiwidHlwIjoiUmVmcmVzaCIsImF6cCI6ImRlbW8tY2xpZW50IiwiYXV0aF90aW1lIjowLCJzZXNzaW9uX3N0YXRlIjoiY2U4NjVhZGQtNjdiOC00OTA1LThmMDMtOWMxNjAzYzFiYTBkIiwicmVhbG1fYWNjZXNzIjp7InJvbGVzIjpbIm9mZmxpbmVfYWNjZXNzIiwidW1hX2F1dGhvcml6YXRpb24iXX0sInJlc291cmNlX2FjY2VzcyI6eyJhY2NvdW50Ijp7InJvbGVzIjpbIm1hbmFnZS1hY2NvdW50IiwibWFuYWdlLWFjY291bnQtbGlua3MiLCJ2aWV3LXByb2ZpbGUiXX19LCJzY29wZSI6Im9wZW5pZCBwcm9maWxlIGVtYWlsIn0.FvvDW6ZSH8mlRR2zgaN1zesX14SmkCs9RrIVU4Jn1-SHVdKEA6YKur0-RUAFTObQDMLVhFFJ05AjGVGWpBrgVDcAwW2pI9saM-OHlyTJ3VfFoylgfzakVOIpbIDnHO12UaJrkOI9NWPAJdbBOzBHfsDhKbxhjg4ZX8SwlKr42rV4WWuSRcNu4_YDVO19SiXSCKXVldZ1_2S-qPvViq7VZfaoRLHuYyDvma_ByMsmib9JUkevJ8dxsYxVQ5FWaAfFanh1a1f8HxNRI-Cl180oPn1_Tqq_SYwxzBCw7Q_ENkMirwRS1a4cX9yMVEDW2uvKz2D-OiNAUK8d_ONuPEkTGQ",
        "expiry": "2018-07-21T13:47:28.986686385+02:00"
    },
    "IDTokenClaims": {
        "jti": "f4d56526-37d9-4d32-b99d-81090e92d3a7",
        "exp": 1532173652,
        "nbf": 0,
        "iat": 1532173352,
        "iss": "http://localhost:8080/auth/realms/demo",
        "aud": "demo-client",
        "sub": "38338c8b-ad7f-469f-8398-17989581ba12",
        "typ": "ID",
        "azp": "demo-client",
        "auth_time": 1532173352,
        "session_state": "ce865add-67b8-4905-8f03-9c1603c1ba0d",
        "acr": "1",
        "email_verified": true,
        "preferred_username": "demo",
        "email": "demo@demo.com"
    }
}

您可以复制您的访问令牌，并使用curl验证服务器是否能够接受您的令牌：

# use your complete access token here
export TOKEN="eyJhbG..."
curl -H "Authorization: Bearer $TOKEN" localhost:8181
# output hello world

您可以在令牌过期后再次尝试，也可以使用令牌。如果你这样做了，你应该得到一个重定向到 您的Keyclope服务器再次出现。

还有一个库，它提供了许多功能。lib正在积极开发中，并已准备好在实际项目中使用。因此，正在处理可能的bug和功能请求

它提供诸如“CreateUser”、“CreateGroup”等管理功能，还提供登录、令牌验证等功能

例如，创建用户非常简单：

client := gocloak.NewClient("https://mycool.keycloak.instance")
token, err := client.LoginAdmin("user", "password", "realmName")
if err != nil {
    panic("Something wrong with the credentials or url")
}
user := gocloak.User{
    FirstName: "Bob",
    LastName:  "Uncle",
    EMail:     "something@really.wrong",
    Enabled:   true,
    Username:  "CoolGuy",
}
client.CreateUser(token.AccessToken, "realm", user)
if err != nil {
    panic("Oh no!, failed to create user :(")
}

它也支持

另外，为了在使用echo时轻松处理身份验证和令牌刷新，还有一个基于Go斗篷的库，名为。这个lib提供了处理程序和中间件来提供帮助，但仍然处于更为WIP的状态

该库还将AccessToken解码为自定义声明

---

披露：我是Go斗篷的（主要）作者，所以这也是一个小广告，但总的来说，它回答了这个问题。我遇到了与作者相同的问题，我决定创建自己的库（基于其他人的库，如github上的自述文件所述）。

在我看来，这是项目维护人员的问题——如何使用他们的项目。IMHO top项目是-它不是适配器，而是身份验证代理。它不仅仅是keydape，而是OIDC身份验证代理（GitHub，Google，…），我在网上搜索时发现，它可能会有所帮助。从这个邮件列表中，有人建议可以使用也很好Go斗篷看起来真的很不错。谢谢你指出！不过有一点吹毛求疵：你应该加上一个简短的披露，说明你是作者。谢谢你的提示！我为你的例子添加了一个例子，这对我帮助很大！也许这有点误导，因为有很多不同的代币被使用，但我在最后一步挣扎。我认为

TOKEN

变量应该用

rawIDToken

字符串的值填充，而不是用oauth2token中的

access\u TOKEN

填充。当我使用

rawIDToken

时，它确实起作用，而

access\u token

则不起作用。令牌验证失败，预期观众“演示客户端”使用最新的KeyClope获得[“帐户”]。客户机范围需要按照中的说明进行调整

client := gocloak.NewClient(hostname)
token, err := client.LoginClient(clientid, clientSecret, realm)
if err != nil {
    panic("Login failed:"+ err.Error())
}

rptResult, err := client.RetrospectToken(token.AccessToken, clientid, clientSecret, realm)
if err != nil {
    panic("Inspection failed:"+ err.Error())
}

if !rptResult.Active {
    panic("Token is not active")
}

permissions := rptResult.Permissions
//Do something with the permissions ;)