OpenID Connect SSO 簡介
OpenID Connect (OIDC) 是各大科技公司都已採用的一種 OAuth 2.0 型驗證通訊協定。
基本 SSO
無論您選擇什麼功能，基本 SSO 的設定需求都相同。新增會員計畫或信用卡實作將需要額外的資訊。
設定需求
為了正確設定您範本網站的 OIDC SSO 存取權，我們需要一些項目，包括：
- API (授權、令牌、userProfile、JWKS)
- ClientId
- 用戶端密碼
- ResponseMode
- isNounceEnabled
- customerDetailsAPIKey (如果有)
授權流程
授權端點
GET /authorize 端點會用於驗證和授權，當使用者是 logged-in 時，它會向客戶端傳回授權許可或程式碼。這是一個瀏覽器重定向。
要求參數
| 參數 | 詳情 | 資料類型 | 範例值 | 是否為必要？ |
|---|---|---|---|---|
client_id | 識別用戶端。必須符合您的識別提供者 (IDP) 中預先註冊的值。在手動用戶端註冊期間或透過動態用戶端註冊 API 取得。 | 字串 | 是 | |
nonce | 用於降低重新執行攻擊風險。此值會在識別碼標記中傳回。 | 字串 | 是 | |
prompt | 驗證所需的互動類型。如果為“空”，則使用者必須登入 (如果尚未經過身份驗證)。如果為“無”，則 IDP 將不會提示登錄，但如果已登入則會傳回授權碼，否則會傳回錯誤。 | 字串 | 有效值： 無或空 | 否 |
redirect_uri | 應傳送授權碼或標記的回呼位置。必須符合用戶端註冊期間，在您的 IDP 中預先註冊的值。 | 字串 | 是 | |
response_type | code (IDP) 值。 | 字串 | 是 | |
response_mode | 授權回應的傳回方式。 | 字串 | 有效值： query | 否 |
scope | 存取標記，用於擷取個人檔案詳細資料。驗證要求的必要項目。 | 字串 | OpenID、profile 和 email | 是 |
state | 互動狀態。此值會在標記中傳回，並可讓使用者點選連結、進行驗證，並返回最初感興趣的頁面。該值可以包含英數字元、逗號、句號、底線和連字號字元。 | 字串 | 是 | |
ui_locales | 使用者首選的使用者介面語言和腳本。 | 字串 | en_CA, fr_CA | 否 |
audience | 預期的收件人。 | 字串 | 由合作夥伴定義 | 否 |
回應參數
| 參數 | 詳情 | 資料類型 | 是否為必要？ |
|---|---|---|---|
code | 識別用戶端的授權碼。這必須符合您的 IDP 中預先註冊的值。在手動用戶端註冊期間或透過動態用戶端註冊 API 取得。 | 字串 | 是 |
state | 互動狀態。此值會在標記中傳回，並可讓使用者點選連結、進行驗證，並返回最初感興趣的頁面。該值可以包含英數字元、逗號、句號、底線和連字號字元。 | 字串 | 是 |
授權 URL 範例
https://example.com/authorize?client_id={clientID}&response_type=code&state=d6b93799-404b-4205-9bb3-c579b1180428&scope=openid email profile&nounce=234567687867&redirect_uri=https://{ExpediaDomain}/sso/auth回調 URL 範例
https://{ExpediaDomain}/sso/auth?code=12345678&state=d6b93799-404b-4205-9bb3-c579b1180428令牌端點
POST /token端點是一個後端 API 呼叫，用於透過提供授權許可或程式碼來取得存取權杖和 ID 令牌。
要求參數
| 參數 | 詳情 | 資料類型 | 是否為必要？ |
|---|---|---|---|
grant_type | IDP 用於授權建立標記的機制。值：authorization_code | 字串 | 是 |
redirect_uri | 指定傳送授權的回呼位置。此值必須符合用於產生原始 authorization_code 的 redirect_uri，否則標記端點會失敗。 | 字串 | 是 |
code | /authorize 呼叫回應中收到的用戶端識別碼。 | 字串 | 是 |
要求標頭
| 欄位 | 詳情 | 資料類型 | 範例值 | 是否為必要？ |
|---|---|---|---|---|
accept | 必須是「application/json」 | 字串 | application/json | 是 |
authorization | 使用 Base64 對用戶端識別碼和密碼進行編碼。使用 HTTP 授權標頭中的編碼資訊。 | 字串 | Basic<Base64 編碼的用戶端識別碼和密碼> | 是 |
Content-Type | 必須是「application/x-www-form-urlencoded」 | 字串 | application/x-www-form-urlencoded | 是 |
回應參數
| 欄位 | 詳情 | 資料類型 |
|---|---|---|
access_token | 存取標記 | 字串 |
token_type | 標記的對象 | 字串 |
expires_in | 存取標記的到期時間 (秒) | 整數 |
scope | 存取標記中包含的範圍 | 字串 |
id_token | 授與 OpenID 範圍時傳回的識別碼 | 字串 |
ID_token
ID_token 是 JSON Web 標記 (JWT)，其中包含稱為宣告的驗證資訊。Expedia 範本解決方案使用宣告 header、payload 和 signature，如下表所示。
標頭宣告
| 欄位 | 詳情 | 資料類型 | 是否為必要？ |
|---|---|---|---|
alg | 識別所使用的數位簽章演算法 (一律為 RS256) | 字串 | 否 |
kid | 金鑰識別碼：識別用於驗證識別碼標記的公開金鑰；可透過 JSON Web 金鑰組 (JWKS) 找到對應的公開金鑰 | 字串 | 是 |
有效負載宣告
| 欄位 | 詳情 | 資料類型 | 是否為必要？ |
|---|---|---|---|
amr | 做為驗證方法識別碼的 JSON 字串陣列 | 陣列 | 否 |
aud | 識別此識別碼標記的預定對象 (您應用程式的 OAuth 2.0 用戶端識別碼之一) | 字串 | 是 |
auth_time | 終端使用者的驗證時間，以 Unix 時間 (秒) 表示 | 整數 | 否 |
exp | 識別碼標記的到期時間，以 Unix 時間 (秒) 表示 | 整數 | 是 |
iat | 識別碼標記的發行時間，以 Unix 時間 (秒) 表示 | 整數 | 否 |
idp | 識別提供者的指標 | 字串 | 是 |
iss | 發行此識別碼標記的授權伺服器網址 | 字串 | 否 |
jti | 此識別碼標記的唯一識別碼，用於偵錯和撤銷目的 | 字串 | 是 |
sub | 授權呼叫之主體 (使用者) 的唯一識別碼 | 字串 | 否 |
ver | 識別碼標記的語意版本 | 整數 | 是 |
簽章宣告
簽章驗證：將根據適合該 JWKS endpoint 和演算法的金鑰 (使用 client_id 檢索) 來驗證簽章。
範例令牌 CURL
curl --location 'https://example.com/token’ \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'Authorization: Basic {encoded ClientID:clientSecret}' \
--data-urlencode 'grant_type=authorization_code' \
--data-urlencode 'redirect_uri=https://{ExpediaDomain}/sso/auth’ \
--data-urlencode 'code={Authorization code after login as part of callback to Expedia /sso/auth endpoint}'令牌回應範例
{
"access_token": "eyJhbGciOi.JSUzI1NiIsImtpZCI6Ilk1MkFDVXd3QV9SUzI1NiIsInBp.LmF0bSI6ImlrY20ifQ",
"id_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6.IllEQnJQdlllYlRwa1laODZoaGk1MkFDVX.d3QV9SUzI1NiJ9",
"token_type": "Bearer",
"expires_in": 1799
}使用者資訊端點
GET /userinfo 端點是一個後端 API 呼叫，它根據提供的存取權杖返回有關經過身份驗證的使用者的聲明。
請求標頭
| 欄位 | 詳情 | 資料類型 | 範例值 | 是否為必要？ |
|---|---|---|---|---|
ClientId | 識別用戶端。必須符合您的識別提供者 (IDP) 中預先註冊的值。在手動用戶端註冊期間或透過動態用戶端註冊 API 取得。 | 字串 | 是 | |
Authorization | 用於傳送憑證或令牌來驗證使用者的 HTTP 標頭 | 字串 | 持有者 [access_token] | 是 |
回應
| 欄位 | 詳情 | 資料類型 | 範例值 | 是否為必要？ |
|---|---|---|---|---|
membershipId | 唯一識別客戶帳戶的識別符 | 字串 | 是 | |
optIn | 如果客戶選擇接收行銷電子郵件，則為布林標記 | 布林值 | 正確/錯誤 | 否 |
languageId | 使用者的首選語言 | 字串 | 英語、法語 | 否 |
channelType | 用戶與應用程式互動的不同平台 | 字串 | 網路、手機、平板電腦 | 否 |
firstName | 客戶的名字 | 字串 | 是 | |
middleName | 客戶的中間名 | 字串 | 否 | |
lastName | 客戶的姓氏 | 字串 | 否 | |
email | 客戶的電子郵件地址 | 字串 | 否 | |
programAccount | Loyalty-related 訊息 | programAccount | 有關對象詳細信息，請參閱下面的 Add loyalty -> programAccount 部分 | 否 |
CardDetails | 客戶的信用卡詳細信息 | CardDetails | 有關對象詳細信息，請參閱下面的 Restrict payment card -> Payload details 部分 | 否 |
範例使用者資訊 CURL
curl --location 'https://example.com/userinfo' \
--header 'client_id: {clientId}' \
--header 'Authorization: Bearer {acess_token from token endpoint}'範例 Userinfo 響應
{
"membershipId": "12345678",
"languageID": "en",
"middleName": "MiddleName",
"lastName": "LastName",
"firstName": "FirstName",
"email": "test@expediagroup.com",
"programAccount": {
"programId": "Gold",
"loyaltyAccountBalance": {
"value": "10000",
"currency": "Points"
}
}
}新增會員計畫
您可以在範本網站中，加入讓旅客透過購買旅遊相關產品賺取會員點數的功能。如果想要，您的範本也可讓旅客使用累積的會員點數來購買旅遊相關產品。
適用與標準實作相同的設定需求，許多值也相同。這裡只包含不同的值。
除了標準user information之外，忠誠度計畫設定還將包括以下值。
programAccount
| 欄位 | 說明 | 資料類型 | 是否為必要？ |
|---|---|---|---|
programId | 旅客所屬會員計畫的識別碼，或與會員計畫相關聯的等級名稱 | 字串 | 是 |
loyaltyAccountNumber | 旅客的會員帳號；只有在會員計畫作業需要次要識別碼 (唯一 membershipId 以外的識別碼) 時才應填入 | 字串 | 否 |
lastFourDigitsOfCreditCard | 旅客預訂時所用信用卡的末 4 碼 | 整數 | 否 |
accountName | 計畫名稱 (如果與等級名稱不同) | 字串 | 否 |
loyaltyConversionRatio | 付款轉換為賺取點數的比率 (例如 $1 = 1 點) | 雙精度 | 否 |
loyaltyAccountBalance | 旅客所賺取會員點數的目前餘額 | 金額 (有關對象詳細信息，請參閱下面的金額部分) | 否 |
金額
| 欄位 | 說明 | 資料類型 | 是否為必要？ |
|---|---|---|---|
value | 會員點數餘額；嵌入至 loyaltyAccountBalance 下方 | 隆 | 是 |
currency | 會員計畫所使用的獎勵幣別，例如貨幣類型、點數、英里；嵌入至 loyaltyAccountBalance 下方 | 字串 | 是 |
限制支付卡
我們可以將網站設定為旅客必須使用您組織的信用卡進行預訂。這是選擇性設定，因為所有範本解決方案都可以接受所有主要信用卡或金融卡，以及 PayPal (僅限美國) 。
信用卡安全與儲存
如果選擇要求使用您組織的自訂信用卡進行購買，我們希望您能感到安心。以下是我們的處理方式。
- 卡片資訊會以記號化形式儲存，並連結至旅客的 Expedia 個人檔案。絕不會以未加密的方式儲存。
- 任何人都無法存取未加密的卡片資料，且只能使用安全的 IAM 登入資訊進行解密。
- 當卡片預先載入付款頁面時，只會顯示卡片詳情，不會顯示卡號。
- 旅客必須輸入卡片的信用卡安全碼，才能使用儲存的卡片完成預訂。
設定需求
除了來自標準實作的設定需求之外，新增您的信用卡時還需要：
- 用於 AuthnRequest 參數的端點。
- 用於簽章驗證的公開金鑰。
我們將使用 Expedia 的私密金鑰來簽署 AuthnRequest 有效負載和公開金鑰，以在您那一端提供簽章驗證。
有效負載詳細資料
除了標準實作中所述的屬性之外，當旅客登入您的網站時，信用卡 SSO 會啟動，以將兩個交易參數傳送至安全的 Expedia SSO 端點：
- 使用者資訊 API：使用已簽署和加密的判斷提示，進行編碼和簽署的回應有效負載。
- RelayState：連至登陸頁面網址的深層連結。
注意
如果您的範本網站同時設定了賺取會員點數，您也需要 programAccount 資訊。
有效負載也將包含下列信用卡詳細資料：
| 欄位 | 詳情 | 是否為必要？ |
|---|---|---|
cardNumber | 用於收費的卡號 | 是 |
cardType | 所使用的卡片類型 (例如 Visa、MasterCard、American Express) | 是 |
expirationDate | 所使用卡片的到期日 | 是 |
BillingAddress | 與所使用卡片相關聯的帳單地址 | 是 |
addressCategoryCode | 帳單地址類型，例如住家或辦公室；嵌入至 BillingAddress 下方 | 是 |
firstAddressLine | 帳單地址的第一行；嵌入至 BillingAddress 下方 | 是 |
secondAddressLine | 帳單地址的第二行；嵌入至 BillingAddress 下方 | 否 |
thirdAddressLine | 帳單地址的第三行；嵌入至 BillingAddress 下方 | 否 |
cityName | 帳單地址的城市；嵌入至 BillingAddress 下方 | 是 |
provinceName | 帳單地址的州/省；嵌入至 BillingAddress 下方 | 是 |
postalCode | 帳單地址的郵遞區號；嵌入至 BillingAddress 下方 | 是 |
countryCode | 帳單地址的國碼 (地區碼)；嵌入至 BillingAddress 下方 | 是 |