本文详解如何使用 go 语言构建基于 openid connect 协议的 sso 框架，对接 azure active Directory 完成用户认证，并提供可运行的代码示例与关键配置说明。
Azure Active Directory（Azure AD）是企业级身份认证服务，原生支持标准开放协议——包括 OAuth 2.0 和 OpenID Connect（OIDC），这使其成为 go 应用实现安全、合规单点登录（SSO）的理想后端。相比较老旧的 WS-Fed 或 SAML-P，OpenID Connect 基于 REST/jsON，更轻量、更易与 Go 生态集成，且官方 SDK 和社区库（如 coreos/go-oidc、oauth2）成熟稳定。
以下是一个最小可行的 Go SSO 框架实现步骤：
✅ 1. Azure AD 应用注册（前提）
- 登录 Azure Portal → Azure Active Directory → app registrations → New registration
- 填写应用名称，选择支持账户类型（如“仅此组织目录中的账户”）
- 设置重定向 URI：http://localhost:8080/callback（开发环境）或你的生产域名回调地址（如 https://yourapp.com/callback）
- 记录下生成的 Application (client) ID 和 Directory (tenant) ID；后续需在代码中配置
- 进入 Certificates & secrets → 创建客户端密钥（Client Secret），复制并安全保存（该密钥仅显示一次）
✅ 2. Go 后端实现（基于 golang.org/x/oauth2 + coreos/go-oidc）
package main import ( "context" "fmt" "log" "net/http" "os" "golang.org/x/oauth2" "github.com/coreos/go-oidc" "google.golang.org/api/option" ) var ( oauth2Config *oauth2.Config provider *oidc.Provider verifier *oidc.IDTokenVerifier ) func init() { tenantID := os.Getenv("AZURE_TENANT_ID") // e.g., "common" or "xxx-xxx-xxx" clientID := os.Getenv("AZURE_CLIENT_ID") clientSecret := os.Getenv("AZURE_CLIENT_SECRET") redirectURL := "http://localhost:8080/callback" // 初始化 OIDC Provider（Azure AD 的 OIDC 元数据端点） ctx := context.Background() provider, _ = oidc.NewProvider(ctx, fmt.Sprintf("https://login.microsoftonline.com/%s/v2.0", tenantID)) // 配置 OAuth2 客户端 oauth2Config = &oauth2.Config{ ClientID: clientID, ClientSecret: clientSecret, RedirectURL: redirectURL, Endpoint: provider.Endpoint(), Scopes: []string{oidc.ScopeOpenID, "profile", "email"}, } verifier = provider.Verifier(&oidc.Config{ClientID: clientID}) } func loginHandler(w http.ResponseWriter, r *http.Request) { state := "random-state-string" // 生产中请使用 cryptographically secure random url := oauth2Config.AuthCodeURL(state, oauth2.accessTypeOnline) http.Redirect(w, r, url, http.StatusFound) } func callbackHandler(w http.ResponseWriter, r *http.Request) { // 验证 state（防 csrf） if r.URL.Query().Get("state") != "random-state-string" { http.Error(w, "state mismatch", http.StatusbadRequest) return } // 获取授权码 code := r.URL.Query().Get("code") if code == "" { http.Error(w, "code not found", http.StatusBadRequest) return } // 交换 token ctx := r.Context() token, err := oauth2Config.Exchange(ctx, code) if err != nil { log.Printf("Failed to exchange code: %v", err) http.Error(w, "Failed to exchange code", http.StatusInternalServerError) return } // 解析并验证 ID Token rawIDToken, ok := token.Extra("id_token").(string) if !ok { http.Error(w, "no id_token in token response", http.StatusInternalServerError) return } idToken, err := verifier.Verify(ctx, rawIDToken) if err != nil { log.Printf("Failed to verify ID Token: %v", err) http.Error(w, "Invalid ID token", http.StatusUnauthorized) return } // 提取用户信息（claims） var claims map[string]interface{} if err := idToken.Claims(&claims); err != nil { log.Printf("Failed to parse claims: %v", err) http.Error(w, "Invalid claims", http.StatusInternalServerError) return } fmt.Fprintf(w, "✅ Login successful! Hello, %s", claims["name"]) } func main() { http.HandleFunc("/login", loginHandler) http.HandleFunc("/callback", callbackHandler) log.Println("SSO server running on :8080") log.Fatal(http.ListenAndServe(":8080", nil)) }⚠️ 注意事项与最佳实践
- 环境变量安全：AZURE_CLIENT_SECRET 等敏感信息切勿硬编码，应通过 .env（配合 godotenv）或 kubernetes Secrets 注入。
- State 参数：务必生成并校验 state，防止授权码劫持（CSRF）。
- HTTPS 强制要求：生产环境中，Azure AD 要求重定向 URI 必须为 HTTPS（本地开发可临时用 HTTP，但需在 Azure 中明确配置）。
- Token 存储与会话管理：上述示例未持久化用户会话；实际项目应结合 gorilla/sessions 或 JWT cookie 实现服务端会话或无状态鉴权。
- 多租户支持：若需支持任意 Azure AD 租户，将 tenantID 设为 “common”；若限定本组织，则使用具体租户 ID，并在 Azure 应用注册中选择“仅此组织目录中的账户”。
通过以上方案，你即可快速构建一个符合企业安全规范、可扩展、可维护的 Go 语言 SSO 框架。Azure AD 不仅提供统一认证，还天然支持条件访问、MFA、风险策略等高级功能，让业务系统专注核心逻辑，身份治理交由云平台统一管控。