OAuth2 + OIDC 统一认证授权中心

API 接口文档

完整的 OAuth2 接口规范与使用说明

https://oauth2.pengbocloud.com

单点登录SSO授权流程(未登录先跳转统一的登录页面授权)，重定向回客户端获取授权码code，再用code获取访问token

请求参数 (URL传参)

参数	类型	必填	描述	备注
response_type	String	是	授权响应类型	默认值: code
client_id	String	是	客户端ID	授权中心分配
redirect_uri	String	是	客户端回调地址	需授权中心配置需精准匹配 #哈希路由不支持
scope	String	是	请求权限范围	参考值: openid profile email phone (按需组合空格分隔)
state	String	是	防CSRF攻击令牌	客户端唯一随机数
code_challenge_method	String	按需	PKCE算法	参考值: S256 (PKCE安全模式建议SHA256算法)
code_challenge	String	按需	加密code	参考值: BASE64URL(SHA256(原始码code_verifier值)) (PKCE安全模式仅客户端保存确保加密正确)

响应示例

登录与授权同意后，浏览器重定向配置的回调地址redirect_uri示例(附带code授权码): https://client-redirect-uri?code=一次性授权码&state=客户端生成的状态值

登录后使用授权码交换访问令牌, 默认旧的token依然有效, 若要旧token立刻失效使用refresh_token接口

请求头 ( 二选一: 推荐client_secret_basic 或 client_secret_post )

Authorization: Basic base64(client_id:client_secret)

请求参数 (使用 application/x-www-form-urlencoded 编码)

参数	必填	描述
grant_type	是	授权类型 authorization_code / client_credentials
code	按需	授权码回调的code值有效期默认5分钟
redirect_uri	按需	重定向地址 authorization_code模式必填
code_verifier	按需	客户端原始code PKCE安全模式建议每次授权请求变化
client_id	按需	客户端ID
client_secret	按需	客户端密钥

响应示例


                                {
                            "access_token": "授权资源的访问令牌",
                            "id_token": "OIDC模式下返回的ID令牌 解析id_token信息 sub是用户唯一标识",
                            "token_type": "Bearer",
                            "expires_in": 7200, // 令牌有效期 (秒)
                            "refresh_token": "刷新令牌 用于获取新的访问令牌",
                            "scope": "openid profile email phone"
                            }

登录后使用刷新令牌获取新的访问令牌, SAS默认获取后旧的access_token与refresh_token立刻自动失效

请求头 ( 二选一: 推荐client_secret_basic 或 client_secret_post )

Authorization: Basic base64(client_id:client_secret)

请求参数 (使用 application/x-www-form-urlencoded 编码)

参数	必填	描述
grant_type	是	授权类型refresh_token
refresh_token	是	刷新令牌
scope	否	请求权限范围 openid profile email phone
client_id	按需	客户端ID
client_secret	按需	客户端密钥

响应示例

{
                            "access_token": "授权资源的访问令牌",
                            "id_token": "OIDC模式下返回的ID令牌 解析id_token信息 sub是用户唯一标识",
                            "token_type": "Bearer",
                            "expires_in": 7200, // 令牌有效期 (秒)
                            "refresh_token": "刷新令牌 用于获取新的访问令牌",
                            "scope": "openid profile email phone"
                            }

获取客户端凭证信息适用于服务器与服务器之间的软件互信交互

请求头 ( 二选一: 推荐client_secret_basic 或 client_secret_post )

Authorization: Basic base64(client_id:client_secret)

请求参数 (使用 application/x-www-form-urlencoded 编码)

参数	必填	描述	值
grant_type	是	授权类型	client_credentials
client_id	按需	客户端ID	-
client_secret	按需	客户端密钥	-

响应示例

{
  "access_token": "访问授权令牌",
  "token_type": "Bearer",
  "expires_in": 7200 // 令牌有效期 (秒)
}

验证当前访问token信息如是否有效签发用户过期时间等

请求头 ( 二选一: 推荐client_secret_basic 或 client_secret_post )

Authorization: Basic base64(client_id:client_secret)

请求参数 (使用 application/x-www-form-urlencoded 编码)

参数	必填	描述
token	是	access_token / refresh_token / id_token
client_id	按需	客户端ID
client_secret	按需	客户端密钥

响应示例

{
                        "active": true, // 是否有效 失效只返回这一个字段 为false
                        "sub": "admin",
                        "aud": [
                        "oidc-client"
                        ],
                        "nbf": 1756350268,
                        "scope": "address phone openid profile email",
                        "iss": "http://127.0.0.1:9000",
                        "exp": 1756357468, // 令牌过期时间 (秒)
                        "iat": 1756350268, // 令牌签发时间 (秒)
                        "jti": "602df3fe-2c2b-410b-8ca7-6955a271e907",
                        "client_id": "oidc-client",
                        "token_type": "Bearer"
}

撤销access token 或 refresh token令牌有效性立刻生效

请求头 ( 二选一: 推荐client_secret_basic 或 client_secret_post )

Authorization: Basic base64(client_id:client_secret)

请求参数 (使用 application/x-www-form-urlencoded 编码)

参数	必填	描述
token	是	要撤销的令牌
token_type_hint	否	access_token / refresh_token
client_id	按需	客户端ID
client_secret	按需	客户端密钥

响应示例

HTTP 200 状态码，表示撤销成功 (无正文或空JSON)

OIDC注销 RP-Initiated Logout前端通道单点登出SLO 浏览器调用访问销毁登录Session与Token

请求头

无

请求参数 (使用 application/x-www-form-urlencoded 编码)

参数	必填	描述
id_token_hint	是	用户id_token值参考/connect/logout设计
post_logout_redirect_uri	否	登出回调地址默认统一登录页

响应示例


                                浏览器重定向回调配置的登出地址

OIDC注销 OP-Initiated Logout后端通道单点登出SLO 调用API请求销毁登录Session与Token

请求头

Authorization: Bearer ${ACCESS_TOKEN 访问Token变量}

响应示例

{
                            "code": 200, // 200状态码代表成功 其它代表失败 参考HTTP状态码设计
                            "data": null,
                            "msg": "退出登录成功"
}

用户访问浏览器导航到统一认证中心进行修改密码

请求头

无

请求参数 (URL传参)

参数	类型	必填	描述	备注
token	String	是	用户访问令牌	用户的 access_token
logout_url	String	否	登出回调地址	修改密码成功后重定向地址，不传则使用数据库配置的地址

响应示例

修改密码成功后，浏览器重定向登出回调地址示例: https://client-logout-uri?logout=true (标识 logout=true 可用于清除业务系统前端缓存与登录状态)

OAuth2 认证授权流程

标准的授权码模式交互流程

sequenceDiagram participant 用户 participant 客户端应用 participant 授权服务器 participant 资源服务器用户->>客户端应用: 1. 请求业务资源客户端应用->>授权服务器: 2. 请求/oauth2/authorize接口重定向至授权页用户->>授权服务器: 3. 单点登录SSO并同意授权(未登录情况) 授权服务器->>客户端应用: 4. 回调到客户端业务地址(携授权码code) 客户端应用->>授权服务器: 5. 请求/oauth2/token接口传递授权码用code换取token 授权服务器->>客户端应用: 6. 返回access_token和id_token等客户端应用->>资源服务器: 7. 用access_token请求资源(第三方业务软件) 资源服务器->>客户端应用: 8. 返回受保护数据资源

第三方对接指南

快速接入统一认证授权中心

对接流程

选择适合的授权模式（Web应用推荐授权码模式）
配置重定向URI（地址需精准匹配）
实现授权流程（参考上方流程图）
处理令牌响应并安全存储
使用访问令牌请求受保护资源
实现令牌刷新逻辑

安全建议

使用HTTPS传输所有请求
安全存储client_secret（不要暴露在客户端）
使用PKCE增强移动端和SPA应用安全
验证state参数防止CSRF攻击
设置合理的令牌有效期

⚠️ 重要提示：请勿将client_secret暴露在客户端代码中。对于SPA和移动应用，请使用PKCE增强安全性。

OAuth2 + OIDC 认证授权中心

核心优势

安全可靠

多种模式

符合标准

高性能

API 接口文档

登录授权码模式

请求参数 (URL传参)

响应示例

发放令牌

请求头 ( 二选一: 推荐client_secret_basic 或 client_secret_post )

请求参数 (使用 application/x-www-form-urlencoded 编码)

响应示例

刷新令牌

请求头 ( 二选一: 推荐client_secret_basic 或 client_secret_post )

请求参数 (使用 application/x-www-form-urlencoded 编码)

响应示例

客户端凭证授权

请求头 ( 二选一: 推荐client_secret_basic 或 client_secret_post )

请求参数 (使用 application/x-www-form-urlencoded 编码)

响应示例

用户信息

请求头

响应示例

令牌校验内省

请求头 ( 二选一: 推荐client_secret_basic 或 client_secret_post )

请求参数 (使用 application/x-www-form-urlencoded 编码)

响应示例

令牌撤销

请求头 ( 二选一: 推荐client_secret_basic 或 client_secret_post )

请求参数 (使用 application/x-www-form-urlencoded 编码)

响应示例

前端通道登出

请求头

请求参数 (使用 application/x-www-form-urlencoded 编码)

响应示例

后端通道登出

请求头

响应示例

密码管理

请求头

请求参数 (URL传参)

响应示例

OAuth2 认证授权流程

第三方对接指南

对接流程

安全建议

OAuth2 + OIDC
认证授权中心