Für unsere neuen Freunde:

Logto ist eine Auth0-Alternative, die für moderne Apps und SaaS-Produkte entwickelt wurde. Es bietet sowohl Cloud als auch Open-Source Dienste, um dir zu helfen, dein Identity and Management (IAM) System schnell zu starten. Genieße Authentifizierung, Autorisierung und Multi-Tenant-Management alles in einem.

Wir empfehlen, mit einem kostenlosen Entwicklungsmieter auf Logto Cloud zu beginnen. Dies ermöglicht es dir, alle Funktionen einfach zu erkunden.

In diesem Artikel werden wir die Schritte durchgehen, um schnell die OAuth2 Anmeldeerfahrung (Benutzerauthentifizierung) mit Go und Logto aufzubauen.

Voraussetzungen

• Eine laufende Logto-Instanz. Sieh dir die Einführungsseite an, um loszulegen.
• Grundkenntnisse in Go.
• Ein nutzbares OAuth2 Konto.

Eine Anwendung in Logto erstellen

Logto basiert auf OpenID Connect (OIDC) Authentifizierung und OAuth 2.0 Autorisierung. Es unterstützt föderiertes Identitätsmanagement über mehrere Anwendungen hinweg, was allgemein als Single Sign-On (SSO) bezeichnet wird.

Um deine Traditionelle Webanwendung Anwendung zu erstellen, folge einfach diesen Schritten:

1. Öffne die Logto Console. Klicke im Abschnitt "Erste Schritte" auf den Link "Alle anzeigen", um die Liste der Anwendungs-Frameworks zu öffnen. Alternativ kannst du zu Logto Console > Applications navigieren und auf die Schaltfläche "Anwendung erstellen" klicken.
2. Klicke im sich öffnenden Modal auf den Abschnitt "Traditionelle Webanwendung" oder filtere alle verfügbaren "Traditionelle Webanwendung" Frameworks mit den Schnellfilter-Checkboxen auf der linken Seite. Klicke auf die "Go" Framework-Karte, um mit der Erstellung deiner Anwendung zu beginnen.
3. Gib den Anwendungsnamen ein, z. B. "Buchladen", und klicke auf "Anwendung erstellen".

🎉 Ta-da! Du hast gerade deine erste Anwendung in Logto erstellt. Du wirst eine Glückwunschseite sehen, die einen detaillierten Integrationsleitfaden enthält. Folge dem Leitfaden, um zu sehen, wie die Erfahrung in deiner Anwendung sein wird.

Go SDK integrieren

tipp:

• Die folgende Demonstration basiert auf dem Gin Web Framework. Du kannst Logto auch in andere Frameworks integrieren, indem du die gleichen Schritte befolgst.
• Das Go-Beispielprojekt ist in unserem Go SDK-Repo verfügbar.

Installation

Führe im Stammverzeichnis des Projekts aus:

go get github.com/logto-io/go

Füge das github.com/logto-io/go/client-Paket zu deinem Anwendungscode hinzu:

main.go

// main.go
package main

import (
	"github.com/gin-gonic/gin"
	// Abhängigkeit hinzufügen
	"github.com/logto-io/go/client"
)

func main() {
	router := gin.Default()
	router.GET("/", func(c *gin.Context) {
		c.String(200, "Hello Logto!")
	})
	router.Run(":3000")
}

Erstelle einen Sitzungspeicher

In traditionellen Webanwendungen werden die Benutzer-Authentifizierungsinformationen in der Benutzersitzung gespeichert.

Das Logto SDK bietet eine Storage-Schnittstelle, mit der du einen Storage-Adapter basierend auf deinem Web-Framework implementieren kannst, sodass das Logto SDK die Benutzer-Authentifizierungsinformationen in der Sitzung speichern kann.

hinweis:

Wir empfehlen NICHT die Verwendung von cookie-basierten Sitzungen, da die von Logto gespeicherten Benutzer-Authentifizierungsinformationen die Cookie-Größenbeschränkung überschreiten können. In diesem Beispiel verwenden wir speicherbasierte Sitzungen. Du kannst Redis, MongoDB und andere Technologien in der Produktion verwenden, um Sitzungen nach Bedarf zu speichern.

Der Storage-Typ im Logto SDK sieht wie folgt aus:

github.com/logto-io/client/storage.go

package client

type Storage interface {
	GetItem(key string) string
	SetItem(key, value string)
}

Wir verwenden die github.com/gin-contrib/sessions Middleware als Beispiel, um diesen Prozess zu demonstrieren.

Wende die Middleware auf die Anwendung an, damit wir die Benutzersitzung durch den Benutzeranforderungskontext im Routen-Handler erhalten können:

main.go

package main

import (
	"github.com/gin-contrib/sessions"
	"github.com/gin-contrib/sessions/memstore"
	"github.com/gin-gonic/gin"
	"github.com/logto-io/go/client"
)

func main() {
	router := gin.Default()

	// Wir verwenden speicherbasierte Sitzungen in diesem Beispiel
	store := memstore.NewStore([]byte("dein Sitzungsschlüssel"))
	router.Use(sessions.Sessions("logto-session", store))

	router.GET("/", func(ctx *gin.Context) {
		// Benutzersitzung abrufen
		session := sessions.Default(ctx)
		// ...
		ctx.String(200, "Hallo Logto!")
	})
	router.Run(":3000")
}

Erstelle eine session_storage.go-Datei, definiere eine SessionStorage und implementiere die Storage-Schnittstellen des Logto SDK:

session_storage.go

package main

import (
	"github.com/gin-contrib/sessions"
)

type SessionStorage struct {
	session sessions.Session
}

func (storage *SessionStorage) GetItem(key string) string {
	value := storage.session.Get(key)
	if value == nil {
		return ""
	}
	return value.(string)
}

func (storage *SessionStorage) SetItem(key, value string) {
	storage.session.Set(key, value)
	storage.session.Save()
}

Jetzt kannst du im Routen-Handler einen Sitzungs-Speicher für Logto erstellen:

session := sessions.Default(ctx)
sessionStorage := &SessionStorage{session: session}

Init LogtoClient

Zuerst erstelle eine Logto-Konfiguration:

main.go

func main() {
	// ...
	logtoConfig := &client.LogtoConfig{
		Endpoint:  "<your-logto-endpoint>", // Z.B. http://localhost:3001
		AppId:     "<your-application-id>",
		AppSecret: "<your-application-secret>",
	}
	// ...
}

tipp:

Du kannst das "App Secret" auf der Anwendungsdetailseite in der Admin-Konsole finden und kopieren:

Dann kannst du einen LogtoClient für jede Benutzeranfrage mit der obigen Logto-Konfiguration erstellen:

main.go

func main() {
	// ...

	router.GET("/", func(ctx *gin.Context) {
		// LogtoClient erstellen
		session := sessions.Default(ctx)
		logtoClient := client.NewLogtoClient(
			logtoConfig,
			&SessionStorage{session: session},
		)

		// Verwende Logto, um den Inhalt der Startseite zu steuern
		authState := "Du bist nicht auf dieser Website angemeldet. :("

		if logtoClient.IsAuthenticated() {
			authState = "Du bist auf dieser Website angemeldet! :)"
		}

		homePage := `<h1>Hallo Logto</h1>` +
			"<div>" + authState + "</div>"

		ctx.Data(http.StatusOK, "text/html; charset=utf-8", []byte(homePage))
	})

	// ...
}

Implementiere die Anmelderoute

Nachdem die Redirect-URI konfiguriert wurde, fügen wir eine sign-in-Route hinzu, um die Anmeldeanfrage zu bearbeiten, und fügen auch einen Anmeldelink auf der Startseite hinzu:

main.go

func main() {
	// ...

	// Füge einen Link hinzu, um eine Anmeldeanfrage auf der Startseite durchzuführen
	router.GET("/", func(ctx *gin.Context) {
		// ...
		homePage := `<h1>Hello Logto</h1>` +
			"<div>" + authState + "</div>" +
			// Link hinzufügen
			`<div><a href="/sign-in">Sign In</a></div>`

		ctx.Data(http.StatusOK, "text/html; charset=utf-8", []byte(homePage))
	})

	// Füge eine Route hinzu, um Anmeldeanfragen zu bearbeiten
	router.GET("/sign-in", func(ctx *gin.Context) {
		session := sessions.Default(ctx)
		logtoClient := client.NewLogtoClient(
			logtoConfig,
			&SessionStorage{session: session},
		)

		// Die Anmeldeanfrage wird von Logto bearbeitet.
		// Der Benutzer wird zur Redirect-URI weitergeleitet, nachdem er sich angemeldet hat.
		signInUri, err := logtoClient.SignIn("http://localhost:3000/callback")
		if err != nil {
			ctx.String(http.StatusInternalServerError, err.Error())
			return
		}

		// Leite den Benutzer zur Logto-Anmeldeseite weiter.
		ctx.Redirect(http.StatusTemporaryRedirect, signInUri)
	})

	// ...
}

Jetzt, wenn dein Benutzer http://localhost:3000/sign-in besucht, wird der Benutzer zur Logto-Anmeldeseite weitergeleitet.

Implementiere die Callback-Route

Wenn sich der Benutzer erfolgreich auf der Logto-Anmeldeseite anmeldet, wird Logto den Benutzer zur Redirect-URI weiterleiten.

Da die Redirect-URI http://localhost:3000/callback ist, fügen wir die Route /callback hinzu, um den Callback nach der Anmeldung zu bearbeiten.

main.go

func main() {
	// ...

	// Füge eine Route hinzu, um Anmelde-Callback-Anfragen zu bearbeiten
	router.GET("/callback", func(ctx *gin.Context) {
		session := sessions.Default(ctx)
		logtoClient := client.NewLogtoClient(
			logtoConfig,
			&SessionStorage{session: session},
		)

		// Die Anmelde-Callback-Anfrage wird von Logto bearbeitet
		err := logtoClient.HandleSignInCallback(ctx.Request)
		if err != nil {
			ctx.String(http.StatusInternalServerError, err.Error())
			return
		}

		// Springe zur Seite, die vom Entwickler angegeben wurde.
		// In diesem Beispiel wird der Benutzer zur Startseite zurückgeführt.
		ctx.Redirect(http.StatusTemporaryRedirect, "/")
	})

	// ...
}

Implementiere die Abmelderoute

Ähnlich wie beim Anmeldefluss wird Logto den Benutzer nach dem Abmelden zur Post-Sign-out-Redirect-URI weiterleiten.

Fügen wir nun die sign-out-Route hinzu, um die Abmeldeanfrage zu bearbeiten, und fügen wir auch einen Abmeldelink auf der Startseite hinzu:

main.go

func main() {
	// ...

	// Füge einen Link hinzu, um eine Abmeldeanfrage auf der Startseite durchzuführen
	router.GET("/", func(ctx *gin.Context) {
		// ...
		homePage := `<h1>Hello Logto</h1>` +
			"<div>" + authState + "</div>" +
			`<div><a href="/sign-in">Sign In</a></div>` +
			// Link hinzufügen
			`<div><a href="/sign-out">Sign Out</a></div>`

		ctx.Data(http.StatusOK, "text/html; charset=utf-8", []byte(homePage))
	})

	// Füge eine Route hinzu, um Abmeldeanfragen zu bearbeiten
	router.GET("/sign-out", func(ctx *gin.Context) {
		session := sessions.Default(ctx)
		logtoClient := client.NewLogtoClient(
			logtoConfig,
			&SessionStorage{session: session},
		)

		// Die Abmeldeanfrage wird von Logto bearbeitet.
		// Der Benutzer wird zur Post-Sign-out-Redirect-URI weitergeleitet, nachdem er abgemeldet wurde.
		signOutUri, signOutErr := logtoClient.SignOut("http://localhost:3000")

		if signOutErr != nil {
			ctx.String(http.StatusOK, signOutErr.Error())
			return
		}

		ctx.Redirect(http.StatusTemporaryRedirect, signOutUri)
	})

	// ...
}

Nachdem der Benutzer eine Abmeldeanfrage gestellt hat, wird Logto alle Benutzer-Authentifizierungsinformationen in der Sitzung löschen.

Checkpoint: Teste deine Anwendung

Jetzt kannst du deine Anwendung testen:

1. Starte deine Anwendung, du wirst den Anmeldebutton sehen.
2. Klicke auf den Anmeldebutton, das SDK wird den Anmeldeprozess initiieren und dich zur Logto-Anmeldeseite weiterleiten.
3. Nachdem du dich angemeldet hast, wirst du zurück zu deiner Anwendung geleitet und siehst den Abmeldebutton.
4. Klicke auf den Abmeldebutton, um den Token-Speicher zu leeren und dich abzumelden.

OAuth2 Connector hinzufügen

Um eine schnelle Anmeldung zu ermöglichen und die Benutzerkonversion zu verbessern, verbinde dich mit Go als Identitätsanbieter (IdP). Der Logto Social Connector hilft dir, diese Verbindung in wenigen Minuten herzustellen, indem er mehrere Parameter-Eingaben ermöglicht.

Um einen Social Connector hinzuzufügen, folge einfach diesen Schritten:

1. Navigiere zu Console > Connectors > Social Connectors.
2. Klicke auf "Add social connector" und wähle "OAuth2".
3. Folge der README-Anleitung und fülle die erforderlichen Felder aus und passe die Einstellungen an.

hinweis:

Wenn du der In-Place Connector-Anleitung folgst, kannst du den nächsten Abschnitt überspringen.

Standard OAuth 2.0 App einrichten

Erstelle deine OAuth-App

Wenn du diese Seite öffnest, gehen wir davon aus, dass du bereits weißt, mit welchem sozialen Identitätsanbieter du dich verbinden möchtest. Das Erste, was zu tun ist, ist zu bestätigen, dass der Identitätsanbieter das OAuth-Protokoll unterstützt, da dies eine Voraussetzung für die Konfiguration eines gültigen Connectors ist. Folge dann den Anweisungen des Identitätsanbieters, um die relevante App für die OAuth-Autorisierung zu registrieren und zu erstellen.

Konfiguriere deinen Connector

Wir unterstützen aus Sicherheitsgründen NUR den "Authorization Code"-Grant-Typ, und er passt perfekt zu Logtos Szenario.

clientId und clientSecret findest du auf der Detailseite deiner OAuth-Apps.

clientId: Die Client-ID ist ein eindeutiger Bezeichner, der die Client-Anwendung während der Registrierung beim Autorisierungsserver identifiziert. Diese ID wird vom Autorisierungsserver verwendet, um die Identität der Client-Anwendung zu überprüfen und alle autorisierten Zugangstokens mit dieser spezifischen Client-Anwendung zu verknüpfen.

clientSecret: Das Client-Secret ist ein vertraulicher Schlüssel, der der Client-Anwendung vom Autorisierungsserver während der Registrierung ausgestellt wird. Die Client-Anwendung verwendet diesen geheimen Schlüssel, um sich beim Autorisierungsserver zu authentifizieren, wenn sie Zugangstokens anfordert. Das Client-Secret wird als vertrauliche Information betrachtet und sollte jederzeit sicher aufbewahrt werden.

tokenEndpointAuthMethod: Die Authentifizierungsmethode des Token-Endpunkts wird von der Client-Anwendung verwendet, um sich beim Autorisierungsserver zu authentifizieren, wenn sie Zugangstokens anfordert. Um unterstützte Methoden zu entdecken, konsultiere das Feld token_endpoint_auth_methods_supported, das am OpenID Connect Discovery-Endpunkt des OAuth 2.0-Dienstanbieters verfügbar ist, oder beziehe dich auf die relevante Dokumentation des OAuth 2.0-Dienstanbieters.

clientSecretJwtSigningAlgorithm (Optional): Nur erforderlich, wenn tokenEndpointAuthMethod client_secret_jwt ist. Der Client-Secret-JWT-Signaturalgorithmus wird von der Client-Anwendung verwendet, um das JWT zu signieren, das während der Token-Anfrage an den Autorisierungsserver gesendet wird.

scope: Der Scope-Parameter wird verwendet, um die Menge der Ressourcen und Berechtigungen anzugeben, auf die die Client-Anwendung zugreifen möchte. Der Scope-Parameter wird typischerweise als durch Leerzeichen getrennte Liste von Werten definiert, die spezifische Berechtigungen darstellen. Zum Beispiel könnte ein Scope-Wert von "read write" anzeigen, dass die Client-Anwendung Lese- und Schreibzugriff auf die Daten eines Benutzers anfordert.

Du solltest authorizationEndpoint, tokenEndpoint und userInfoEndpoint in der Dokumentation des sozialen Anbieters finden.

authenticationEndpoint: Dieser Endpunkt wird verwendet, um den Authentifizierungsprozess zu initiieren. Der Authentifizierungsprozess beinhaltet typischerweise, dass sich der Benutzer anmeldet und der Client-Anwendung die Berechtigung erteilt, auf seine Ressourcen zuzugreifen.

tokenEndpoint: Dieser Endpunkt wird von der Client-Anwendung verwendet, um ein Zugangstoken zu erhalten, das zum Zugriff auf die angeforderten Ressourcen verwendet werden kann. Die Client-Anwendung sendet typischerweise eine Anfrage an den Token-Endpunkt mit einem Grant-Typ und einem Autorisierungscode, um ein Zugangstoken zu erhalten.

userInfoEndpoint: Dieser Endpunkt wird von der Client-Anwendung verwendet, um zusätzliche Informationen über den Benutzer zu erhalten, wie z. B. seinen vollständigen Namen, seine E-Mail-Adresse oder sein Profilbild. Der Benutzerinfo-Endpunkt wird typischerweise aufgerufen, nachdem die Client-Anwendung ein Zugangstoken vom Token-Endpunkt erhalten hat.

Logto bietet auch ein profileMap-Feld, mit dem Benutzer die Zuordnung von den Profilen der sozialen Anbieter, die normalerweise nicht standardisiert sind, anpassen können. Die Schlüssel sind Logtos standardisierte Benutzerprofil-Feldnamen und die entsprechenden Werte sollten die Feldnamen der sozialen Profile sein. In der aktuellen Phase interessiert sich Logto nur für 'id', 'name', 'avatar', 'email' und 'phone' aus dem sozialen Profil, wobei nur 'id' erforderlich ist und die anderen optionale Felder sind.

responseType und grantType können NUR feste Werte mit dem Authorization Code Grant-Typ sein, daher machen wir sie optional und Standardwerte werden automatisch ausgefüllt.

Zum Beispiel kannst du Google Benutzerprofilantwort finden und daher sollte sein profileMap so aussehen:

{
  "id": "sub",
  "avatar": "picture"
}

hinweis:

Wir haben einen OPTIONALEN customConfig-Schlüssel bereitgestellt, um deine angepassten Parameter zu platzieren. Jeder soziale Identitätsanbieter könnte seine eigene Variante des OAuth-Standardprotokolls haben. Wenn dein gewünschter sozialer Identitätsanbieter strikt am OAuth-Standardprotokoll festhält, musst du dich nicht um customConfig kümmern.

Konfigurationstypen

Name	Typ	Erforderlich
authorizationEndpoint	string	true
userInfoEndpoint	string	true
clientId	string	true
clientSecret	string	true
tokenEndpointResponseType	enum	false
responseType	string	false
grantType	string	false
tokenEndpoint	string	false
scope	string	false
customConfig	Record<string, string>	false
profileMap	ProfileMap	false

ProfileMap-Felder	Typ	Erforderlich	Standardwert
id	string	false	id
name	string	false	name
avatar	string	false	avatar
email	string	false	email
phone	string	false	phone

Konfiguration speichern

Überprüfe, ob du alle notwendigen Werte im Logto Connector-Konfigurationsbereich ausgefüllt hast. Klicke auf "Speichern und Fertig" (oder "Änderungen speichern") und der OAuth2 Connector sollte jetzt verfügbar sein.

OAuth2 Connector in der Anmeldeerfahrung aktivieren

Sobald du einen sozialen Connector erfolgreich erstellt hast, kannst du ihn als "Weiter mit OAuth2"-Button in der Anmeldeerfahrung aktivieren.

1. Navigiere zu Konsole > Anmeldeerfahrung > Registrierung und Anmeldung.
2. (Optional) Wähle "Nicht zutreffend" für das Registrierungskennzeichen, wenn du nur die soziale Anmeldung benötigst.
3. Füge den konfigurierten OAuth2 Connector zum Abschnitt "Soziale Anmeldung" hinzu.

Testen und Validieren

Kehre zu deiner Go-App zurück. Du solltest dich jetzt mit OAuth2 anmelden können. Viel Spaß!

Weiterführende Lektüre

Endbenutzerflüsse: Logto bietet sofort einsatzbereite Authentifizierungsflüsse, einschließlich Multi-Faktor-Authentifizierung (MFA) und Enterprise SSO, zusammen mit leistungsstarken APIs für die flexible Implementierung von Kontoeinstellungen, Sicherheitsüberprüfung und Multi-Tenant-Erfahrung.

Autorisierung: Autorisierung (Authorization) definiert die Aktionen, die ein Benutzer ausführen kann, oder die Ressourcen, auf die er nach der Authentifizierung zugreifen kann. Erfahre, wie du deine API für native und Single-Page-Anwendungen schützen und rollenbasierte Zugangskontrolle (RBAC) implementieren kannst.

Organisationen: Besonders effektiv in Multi-Tenant-SaaS- und B2B-Anwendungen, ermöglicht die Organisationsfunktion die Erstellung von Mandanten, das Mitgliedermanagement, organisationsweite RBAC und Just-in-Time-Bereitstellung.

Kunden-IAM-Serie: Unsere Blogserie über Customer (oder Consumer) Identity and Access Management, von den Grundlagen bis zu fortgeschrittenen Themen und darüber hinaus.