OpenID Connect: giao thức xác thực và ủy quyền là gì

OpenID Connect là gì?

OpenID Connect (OIDC) là giao thức xác thực mở được xây dựng như một phần mở rộng trên OAuth 2.0. Nó chuẩn hóa những gì OAuth 2.0 còn thiếu: xác minh danh tính người dùng. Nếu OAuth 2.0 trả lời câu hỏi “ứng dụng nào có quyền truy cập?”, thì OIDC trả lời “người dùng này chính xác là ai?”

Giao thức sử dụng ID Token — JSON Web Token (JWT) chứa một tập hợp các claim: định danh chủ thể duy nhất, email, tên, ảnh đại diện, dấu thời gian phát hành và hết hạn. Ứng dụng khách có thể xác minh ID Token bằng mật mã — máy chủ ký token bằng RS256 hoặc ES256, và máy khách kiểm tra chữ ký với khóa công khai lấy được qua endpoint JWKS.

Theo Auth0, 2025, hơn 78% ứng dụng di động sử dụng xác thực bên thứ ba áp dụng OIDC qua Google Sign-In hoặc Sign in with Apple. Điều này biến giao thức thành tiêu chuẩn thực tế cho đăng nhập xã hội và xác thực doanh nghiệp.

Cách OpenID Connect hoạt động

OpenID Connect định nghĩa một số luồng (flows) tùy theo loại máy khách. Đối với ứng dụng di động, tiêu chuẩn là Authorization Code Flow với Proof Key for Code Exchange (PKCE) — nó cung cấp bảo mật ngay cả khi không có client secret trên thiết bị.

Nhà cung cấp danh tính và vai trò của nó

Nhà cung cấp danh tính (IdP) là máy chủ xác thực người dùng và phát hành token. Trong hệ sinh thái OIDC, IdP cung cấp hai endpoint chính: Authorization Endpoint để đăng nhập người dùng và Token Endpoint để trao đổi mã lấy token. Máy khách tìm địa chỉ của các endpoint này qua Discovery URL — đường dẫn tiêu chuẩn /.well-known/openid-configuration, trả về tài liệu JSON với toàn bộ cấu hình nhà cung cấp.

Mỗi IdP công bố JWKS (JSON Web Key Set) — tập hợp các khóa công khai để xác minh chữ ký ID Token. Máy khách lưu đệm các khóa này và sử dụng chúng để xác minh từng token nhận được mà không cần liên hệ với máy chủ.

Authorization Code Flow với PKCE

Authorization Code Flow là quy trình ba bước. Đầu tiên, ứng dụng di động tạo code verifier (chuỗi ngẫu nhiên dài 43–128 ký tự) và hàm băm của nó — code challenge. Ứng dụng mở trình duyệt hoặc WebView với URL chứa client_id, redirect_uri, scope (openid profile email) và code challenge. Người dùng nhập thông tin đăng nhập trên trang IdP và xác nhận đồng ý. IdP chuyển hướng trình duyệt trở lại ứng dụng với authorization code.

Ở bước thứ hai, ứng dụng gửi authorization code, code verifier và client_id tới Token Endpoint của máy chủ. Máy chủ xác minh code verifier với code challenge đã lưu và trả về ID Token, Access Token và tùy chọn Refresh Token. Ở bước thứ ba, ứng dụng xác minh ID Token: xác thực chữ ký với JWKS, kiểm tra issuer (iss), audience (aud) và thời gian hết hạn (exp). Nếu xác minh thành công, người dùng được coi là đã xác thực.

PKCE (Proof Key for Code Exchange) loại bỏ lỗ hổng vốn có trong Authorization Code Flow tiêu chuẩn ở các máy khách công khai. Vì ứng dụng di động không thể lưu trữ client secret một cách an toàn, kẻ tấn công chặn được authorization code có thể trao đổi nó lấy token. Code verifier giải quyết vấn đề này: ngay cả khi mã bị chặn, nếu không có code verifier gốc thì việc trao đổi là không thể. OAuth Security Best Practices (RFC 9700) yêu cầu PKCE cho tất cả máy khách công khai, bao gồm cả ứng dụng di động.

ID Token và Access Token

OpenID Connect trả về hai token khác nhau về cơ bản: ID Token và Access Token. ID Token luôn là JWT mà máy khách có thể tự đọc và xác minh. Nó chứa thông tin người dùng và được sử dụng để xác thực, không phải để truy cập API.

Cấu trúc ID Token

ID Token bao gồm header, payload và signature, được mã hóa Base64 và phân tách bằng dấu chấm. Header chứa alg (thuật toán ký) và kid (định danh khóa). Payload bao gồm các claim bắt buộc: iss (issuer), sub (subject — ID người dùng duy nhất), aud (audience — định danh máy khách), exp (expiration), iat (issued at). Các claim tùy chọn bao gồm name, email, picture, locale.

Ví dụ về payload ID Token đã giải mã từ Google:

{
  "iss": "https://accounts.google.com",
  "sub": "1234567890",
  "aud": "my-app-123.apps.googleusercontent.com",
  "exp": 1812345678,
  "iat": 1812342078,
  "name": "Ivan Petrov",
  "email": "ivan@example.com"
}

Access Token là token mờ (chuỗi tùy ý) hoặc JWT mà máy khách truyền trong các yêu cầu API. Không giống ID Token, access token không được thiết kế để máy khách đọc — định dạng và nội dung của nó chỉ được biết bởi máy chủ tài nguyên và máy chủ ủy quyền. Access Token có phạm vi (scope) — giới hạn quyền — và thời gian sống ngắn, thường là 15–60 phút.

Sự khác biệt giữa OpenID Connect và OAuth 2.0

OAuth 2.0 là khung ủy quyền định nghĩa cách ứng dụng truy cập tài nguyên người dùng. OpenID Connect là phần mở rộng thêm xác thực vào quy trình này. Sự khác biệt chính: OAuth 2.0 không định nghĩa định dạng token và không cung cấp cho ứng dụng cách biết ai đã thực hiện yêu cầu.

Khi nào chọn OpenID Connect

OpenID Connect cần thiết khi ứng dụng cần nhận dạng người dùng, không chỉ truy cập dữ liệu của họ. Nếu bạn sử dụng “Đăng nhập bằng Google” hoặc “Đăng nhập bằng Apple” — đó là OIDC. Nếu ứng dụng của bạn gọi API bên thứ ba thay mặt người dùng mà không cần biết danh tính của họ — OAuth 2.0 thuần túy là đủ. Đối với hệ thống doanh nghiệp với Single Sign-On (SSO), lựa chọn rất rõ ràng: chỉ OpenID Connect, vì nó cung cấp đăng xuất chuẩn hóa và quản lý phiên.

Triển khai OpenID Connect trong ứng dụng di động

Tích hợp OpenID Connect vào ứng dụng di động đòi hỏi chọn thư viện phù hợp và cấu hình luồng chính xác. Đối với Android, sử dụng trình quản lý thông tin đăng nhập (AndroidX Credentials) hoặc thư viện AppAuth. Đối với iOS, sử dụng framework AuthenticationServices với ASWebAuthenticationSession.

Ví dụ mã Kotlin (Android)

Dưới đây là ví dụ khởi động Authorization Code Flow bằng thư viện AppAuth-Android. Ứng dụng tạo yêu cầu ủy quyền, mở trình duyệt để người dùng đăng nhập và xử lý callback với các token.

val authRequest = AuthorizationRequest.Builder(
    serviceConfig,
    clientId,
    "code",
    Uri.parse("com.example.app:/oauth")
)
.setScope("openid profile email")
.build()

val authService = AuthorizationService(this)
val intent = authService.getAuthorizationRequestIntent(authRequest)
startActivityForResult(intent, REQUEST_CODE)

override fun onActivityResult(
    requestCode: Int,
    resultCode: Int,
    data: Intent?
) {
    if (requestCode == REQUEST_CODE) {
        val response = AuthorizationResponse.fromIntent(data)
        if (response?.authorizationCode != null) {
            exchangeCodeForTokens(response.authorizationCode)
        }
    }
}

Ví dụ mã Swift (iOS)

ASWebAuthenticationSession của Apple cung cấp trình duyệt tích hợp cho luồng OIDC với hỗ trợ SSO qua iCloud Keychain. Phiên bắt đầu với URL ủy quyền và callback được xử lý qua completion handler.

Khi chọn thư viện cho OpenID Connect, hãy cân nhắc hỗ trợ PKCE tích hợp: AppAuth-Android và AppAuth-iOS hỗ trợ PKCE theo mặc định. Firebase Authentication sử dụng OIDC nội bộ cho Google Sign-In, Sign in with Apple và Microsoft — nhà phát triển không cần triển khai luồng thủ công. Đối với hệ thống doanh nghiệp với IdP tùy chỉnh (ví dụ: Keycloak hoặc Okta), AppAuth vẫn là lựa chọn tiêu chuẩn với toàn quyền kiểm soát cấu hình và xử lý lỗi.

let authURL = URL("https://accounts.google.com/o/oauth2/v2/auth")!
let callbackURL = URL("com.example.app://oauth")!

let session = ASWebAuthenticationSession(
    url: authURL,
    callbackURLScheme: callbackURL.scheme!
) { url, error in
    guard let url = url else { return }
    let components = URLComponents(url: url)
    let code = components?.queryItems?.first(where: { $0.name == "code" })?.value
    if let code = code { exchangeCode(code) }
}
session.start()