Django: OpenID Connect-inloggning med mozilla-django-oidc

Inloggning med Dazr Identity: kostnadsfri OpenID Connect, i EU, med nycklar (passkeys), e-postkoder och Google- eller Microsoft-konton bakom en enda knapp.

Du behöver tre värden från utvecklarkonsolen: klient-id:t, klienthemligheten (bara webbserverappar) och den omdirigerings-URI du registrerade. Resten finns i discovery-dokumentet på https://identity.dazr.eu/.well-known/openid-configuration.

Django

Använd mozilla-django-oidc. Registrera en webbserverapp med omdirigerings-URI:n https://app.example.eu/oidc/callback/. Biblioteket läser inte discovery-dokumentet, så endpoints är utskrivna.

# settings.py
import os

INSTALLED_APPS += ["mozilla_django_oidc"]  # after django.contrib.auth
AUTHENTICATION_BACKENDS = [
    "mozilla_django_oidc.auth.OIDCAuthenticationBackend",
    "django.contrib.auth.backends.ModelBackend",
]

OIDC_RP_CLIENT_ID = os.environ["DAZR_CLIENT_ID"]
OIDC_RP_CLIENT_SECRET = os.environ["DAZR_CLIENT_SECRET"]
OIDC_RP_SCOPES = "openid profile email"
OIDC_RP_SIGN_ALGO = "ES256"
OIDC_OP_JWKS_ENDPOINT = "https://identity.dazr.eu/oauth/jwks"
OIDC_OP_AUTHORIZATION_ENDPOINT = "https://identity.dazr.eu/oauth/authorize"
OIDC_OP_TOKEN_ENDPOINT = "https://identity.dazr.eu/oauth/token"
OIDC_OP_USER_ENDPOINT = "https://identity.dazr.eu/oauth/userinfo"
OIDC_USE_PKCE = True
OIDC_PKCE_CODE_CHALLENGE_METHOD = "S256"

LOGIN_REDIRECT_URL = "/"
LOGOUT_REDIRECT_URL = "/"

# urls.py
from django.urls import include, path
urlpatterns += [path("oidc/", include("mozilla_django_oidc.urls"))]

# template: start the sign-in
# <a href="{% url 'oidc_authentication_init' %}">Sign in with Dazr Identity</a>

Som standard matchar backenden användare efter e-post. För att använda sub som kontonyckel gör du en underklass av OIDCAuthenticationBackend och skriver över filter_users_by_claims och create_user. Använd en aktuell version: äldre versioner kan inte verifiera ES256-signaturer.

Använd sub som kontonyckel, inte e-post Claimet sub är parvist: detsamma för alla appar i din organisation, olika för alla andra organisationer. Det ändras aldrig för en person, medan en e-postadress kan ändras. Spara sub som kontonyckel och behandla email som kontaktuppgift.

Mer för utvecklare

UtvecklardokumentationAlla integrationsguiderValfritt OpenID Connect-bibliotekPriser