OpenID Connect SSO 簡介

OpenID Connect (OIDC) 是各大科技公司都已採用的一種 OAuth 2.0 型驗證通訊協定。

深入了解 OIDC

基本 SSO

無論您選擇什麼功能，基本 SSO 的設定需求都相同。新增會員計畫或信用卡實作將需要額外的資訊。

設定需求

為了正確設定您範本網站的 OIDC SSO 存取權，我們需要一些項目，包括：

• API (授權、令牌、userProfile, JWKS)
• ClientId
• 用戶端密碼
• ResponseMode
• isNounceEnabled
• customerDetailsAPIKey (如果有)

授權流程

授權端點

GET /authorize 端點會用於驗證和授權，當使用者登入後，它會傳回授權授予或授權碼。這是一種瀏覽器重定向，會引導您提交憑證以進行驗證。

要求參數

回應參數

授權 URL 範例

https://example.com/authorize?client_id={clientID}&response_type=code&state=d6b93799-404b-4205-9bb3-c579b1180428&scope=openid email profile&nounce=234567687867&redirect_uri=https://{ExpediaDomain}/sso/auth

回呼 URL 範例

https://{ExpediaDomain}/sso/auth?code=12345678&state=d6b93799-404b-4205-9bb3-c579b1180428

代幣端點

POST /token端點是一個後端 API 呼叫，用於透過提交授權授予或授權碼來取得存取憑證和身分憑證。

要求參數

要求標頭

回應參數

ID_token

ID_token 是 JSON Web 標記 (JWT)，其中包含稱為宣告的驗證資訊。Expedia 範本解決方案使用宣告 header、payload 和 signature，如下表所示。

標頭宣告

有效負載宣告

簽章宣告

簽名驗證：系統將使用該JWKS endpoint 及演算法對應的金鑰 (透過client_id 取得)，對簽名進行驗證。

範例代幣 CURL

curl --location 'https://example.com/token’ \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'Authorization: Basic {encoded ClientID:clientSecret}' \
--data-urlencode 'grant_type=authorization_code' \
--data-urlencode 'redirect_uri=https://{ExpediaDomain}/sso/auth’ \
--data-urlencode 'code={Authorization code after login as part of callback to Expedia /sso/auth endpoint}'

範例代幣回應

{
    "access_token": "eyJhbGciOi.JSUzI1NiIsImtpZCI6Ilk1MkFDVXd3QV9SUzI1NiIsInBp.LmF0bSI6ImlrY20ifQ",
    "id_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6.IllEQnJQdlllYlRwa1laODZoaGk1MkFDVX.d3QV9SUzI1NiJ9",
    "token_type": "Bearer",
    "expires_in": 1799
}

Userinfo 端點

GET /userinfo端點是一個後端 API 呼叫，會根據提供的存取憑證，回傳關於已驗證使用者的聲明。此功能會傳回使用者個人資料，用於在網站的帳戶頁首顯示客戶姓名，並可透過該計畫帳戶載入忠誠度等級資訊。

注意： 若回應中未提供必填參數，將導致網站上的使用者體驗出現問題。例如，客戶姓名將不會顯示在範本網站上，且用於連接 Expedia 端忠誠度註冊所需的程式帳戶資訊將會缺失。

請求標頭

回應

CURL 使用者資訊範例

curl --location 'https://example.com/userinfo' \
--header 'client_id: {clientId}' \
--header 'Authorization: Bearer {acess_token from token endpoint}'

Userinfo 回應範例

{
  "membershipId": "12345678",
  "languageID": "en",
  "middleName": "MiddleName",
  "lastName": "LastName",
  "firstName": "FirstName",
  "email": "test@expediagroup.com",
  "programAccount": {
    "programId": "Gold",
    "loyaltyAccountBalance": {
      "value": "10000",
      "currency": "Points"
    }
  }
}

新增會員計畫

作為您網站範本的一部分，您可以加入讓客戶在購買旅遊產品時累積忠誠度點數的功能。若您選擇此功能，您的模板亦可讓客戶使用其累積的忠誠度點數 來購買旅遊產品。

適用與標準實作相同的設定需求，許多值也相同。這裡只包含不同的值。

除了標準的user information 之外，忠誠度計畫的設定還將包含以下值。

programAccount

金額

限制支付卡

我們可以設定您的網站，讓旅客必須使用貴組織的信用卡才能預訂。這是選擇性設定，因為所有範本解決方案都可以接受所有主要信用卡或金融卡，以及 PayPal (僅限美國) 。

信用卡安全與儲存

如果選擇要求使用您組織的自訂信用卡進行購買，我們希望您能感到安心。以下是我們的處理方式。

• 卡片資訊會以記號化形式儲存，並連結至旅客的 Expedia 個人檔案。絕不會以未加密的方式儲存。
• 任何人都無法存取未加密的卡片資料，且只能使用安全的 IAM 登入資訊進行解密。
• 當卡片預先載入付款頁面時，只會顯示卡片詳情，不會顯示卡號。
• 旅客必須輸入卡片的信用卡安全碼，才能使用儲存的卡片完成預訂。

設定需求

除了來自標準實作的設定需求之外，新增您的信用卡時還需要：

• 用於 AuthnRequest 參數的端點。
• 用於簽章驗證的公開金鑰。

我們將使用 Expedia 的私密金鑰來簽署 AuthnRequest 有效負載和公開金鑰，以在您那一端提供簽章驗證。

有效負載詳細資料

除了標準實作中所述的屬性之外，當旅客登入您的網站時，信用卡 SSO 會啟動，以將兩個交易參數傳送至安全的 Expedia SSO 端點：

• 使用者資訊 API：使用已簽署和加密的判斷提示，進行編碼和簽署的回應有效負載。
• RelayState：連至登陸頁面網址的深層連結。

有效負載也將包含下列信用卡詳細資料：

靜默 sign-in

「靜默」sign-in 可在與身分識別提供者之間已存在有效連線時，啟用自動驗證。如果使用者已在另一個瀏覽器分頁或應用程式中完成驗證，系統將重新使用現有的會話，使用者將自動登入，無需再次輸入憑證。

此功能仰賴於維持瀏覽器 Cookie，以保留 logged-in 的狀態。它對標準登入流程和 SSO 流程均使用相同的授權端點。當偵測到有效的工作階段時，系統會將請求重定向至指定的 SSO 重定向網址，且不會觸發重新驗證。

由於 cookie-based 的會話持久性機制，僅能針對不受歐盟《一般資料保護條例》（GDPR）合規要求約束的銷售據點啟用單一登入 (SSO)。您需要在身分識別供應商的設定中配置我們的重定向網址，以啟用單一登入流程。Expedia 將在整合過程中提供重定向網址。

網路允許清單

此清單定義了您的範本網站與 Expedia 環境之間進行安全通訊所需的要求。我們將提供 AWS 出站 IP 範圍，以及用於本地或 lower-environment 測試的 IP 位址。您必須將這些 IP 地址加入允許清單，以確保來自 Expedia 的傳入流量不會被封鎖。

您還需要向我們提供貴組織的發送端 IP 位址，以便我們將其加入我們這邊的允許清單中。

注意： 若未將這些 IP 位址加入允許清單 (無論是任一端或雙方)，出站與入站的 SSO 呼叫都將出現連線問題。

Expedia 端點

您需要在身分識別提供者上將「redirect_uri」設定為以下值，以啟用授權呼叫：

• {WLTP domain}/sso/auth：登入流程中，授權呼叫完成後的 SSO 重定向終點
• {WLTP domain}/validateCurrentSession：在「無互動」sign-in 流程中，授權呼叫完成後傳送至 SSO 重定向終點

注意： Expedia 已將標準的最大會話超時設定為 60 分鐘。60 分鐘後，您需要重新產生存取憑證。