Cette page se concentre sur la prise en charge du protocole OpenID Connect par Spring Security. Vous cherchez les fonctionnalités (C)IAM de Spring Security comme MFA, SSO et gestion des utilisateurs ? Voir Spring Security sur le benchmark des fournisseurs d'identité (C)IAM.

Spring Security Fournisseur OpenID Connect

🇺🇸

Open-source authentication and authorization framework for Java applications built on Spring. Embedded directly in your application and backed by your own user store, with form login, passkeys, one-time token (magic link) login, multi-factor authentication through factor authorities, OAuth 2.0 / OpenID Connect login and resource server, and SAML 2.0 service provider support. Spring Authorization Server adds an OAuth 2.1 and OpenID Connect 1.0 provider. Core differentiator: it is a library, not a hosted service, so there is no vendor server or per-user pricing. It ships no user management, admin console or hosted UI, and everything from user storage to MFA enrollment is assembled by the application. Commercial support is available through Tanzu Spring.

Fonctionnalités

Grant Types

Extensions

Endpoints

Méthodes d'authentification du token endpoint

none
client_secret_basic
client_secret_post
client_secret_jwt
private_key_jwt
tls_client_auth

Prompts

Fonctionnalités

Financial-grade API (FAPI)

Si vous souhaitez comparer les fonctionnalités OpenID Connect de différents fournisseurs, consultez le benchmark des fournisseurs OpenID Connect.

Vous cherchez les fonctionnalités (C)IAM de Spring Security comme MFA, SSO et gestion des utilisateurs ? Voir Spring Security sur le benchmark des fournisseurs d'identité (C)IAM.

Foire aux questions

Spring Security prend-il en charge Authorization Code grant type ?

Spring Security prend en charge Authorization Code grant type. Authorization code flow in the authorization server, with optional user consent. Also supported by the OAuth 2.0 client and OIDC login. En savoir plus

Spring Security prend-il en charge Refresh Token grant type ?

Spring Security prend en charge Refresh Token grant type. Refresh token grant on the token endpoint and in the OAuth 2.0 client. En savoir plus

Spring Security prend-il en charge Client Credentials grant type ?

Spring Security prend en charge Client Credentials grant type. Client credentials grant on the token endpoint and in the OAuth 2.0 client. En savoir plus

Spring Security prend-il en charge Implicit grant type ?

Spring Security ne prend pas en charge Implicit grant type. Not offered, consistent with OAuth 2.1. En savoir plus

Spring Security prend-il en charge Token Exchange grant type ?

Spring Security prend en charge Token Exchange grant type. OAuth 2.0 Token Exchange (RFC 8693) on the token endpoint. The OAuth 2.0 client can also request token exchange. En savoir plus

Spring Security prend-il en charge Client Initiated BackChannel Authentication grant type ?

Spring Security ne prend pas en charge Client Initiated BackChannel Authentication grant type. Not listed among the supported grants. En savoir plus

Spring Security prend-il en charge Device Authorization Grant grant type ?

Spring Security prend en charge Device Authorization Grant grant type. OAuth 2.0 Device Authorization Grant (RFC 8628) with a device verification endpoint and consent. En savoir plus

Spring Security prend-il en charge JWT Bearer Token grant type ?

Spring Security ne prend pas en charge JWT Bearer Token grant type. The authorization server does not accept this grant. The OAuth 2.0 client can send it as an opt-in extension. En savoir plus

Spring Security prend-il en charge SAML 2.0 Bearer Assertion grant type ?

Spring Security ne prend pas en charge SAML 2.0 Bearer Assertion grant type. Not supported.

Spring Security prend-il en charge Resource Owner Password Credentials grant type ?

Spring Security ne prend pas en charge Resource Owner Password Credentials grant type. Not offered, consistent with OAuth 2.1. En savoir plus

Spring Security prend-il en charge PKCE extension ?

Spring Security prend en charge PKCE extension. PKCE (RFC 7636) on the authorization server, with proof key requirements per client. Automatic PKCE for public clients in the OAuth 2.0 client. En savoir plus

Spring Security prend-il en charge PAR extension ?

Spring Security prend en charge PAR extension. Pushed Authorization Requests (RFC 9126) endpoint on the authorization server. En savoir plus

Spring Security prend-il en charge RAR extension ?

Spring Security ne prend pas en charge RAR extension. Not documented. En savoir plus

Spring Security prend-il en charge JAR extension ?

Spring Security ne prend pas en charge JAR extension. Not documented. En savoir plus

Spring Security prend-il en charge Authorization Endpoint endpoint ?

Spring Security prend en charge Authorization Endpoint endpoint. Authorization endpoint with consent handling and customisable consent page. En savoir plus

Spring Security prend-il en charge Token Endpoint endpoint ?

Spring Security prend en charge Token Endpoint endpoint. Token endpoint for authorization code, refresh token, client credentials, device code and token exchange grants. En savoir plus

Spring Security prend-il en charge UserInfo Endpoint endpoint ?

Spring Security prend en charge UserInfo Endpoint endpoint. OIDC UserInfo endpoint, with claims mapped from the ID token by requested scopes and customisable through userInfoMapper. En savoir plus

Spring Security prend-il en charge Token Revocation endpoint ?

Spring Security prend en charge Token Revocation endpoint. Token revocation endpoint (RFC 7009). En savoir plus

Spring Security prend-il en charge Token Introspection endpoint ?

Spring Security prend en charge Token Introspection endpoint. Token introspection endpoint (RFC 7662). En savoir plus

Spring Security prend-il en charge Device Authorization Endpoint endpoint ?

Spring Security prend en charge Device Authorization Endpoint endpoint. Device authorization endpoint (RFC 8628). En savoir plus

Spring Security prend-il en charge OpenID Connect Discovery Endpoint endpoint ?

Spring Security prend en charge OpenID Connect Discovery Endpoint endpoint. OpenID Connect provider configuration endpoint, customisable through a metadata customizer. En savoir plus

Spring Security prend-il en charge OAuth 2.0 Authorization Server Metadata Endpoint endpoint ?

Spring Security prend en charge OAuth 2.0 Authorization Server Metadata Endpoint endpoint. Authorization server metadata endpoint (RFC 8414). En savoir plus

Spring Security prend-il en charge none méthode d'authentification du token endpoint ?

Spring Security prend en charge none méthode d'authentification du token endpoint. Public clients, typically with PKCE. En savoir plus

Spring Security prend-il en charge client_secret_basic méthode d'authentification du token endpoint ?

Spring Security prend en charge client_secret_basic méthode d'authentification du token endpoint. Client secret in the HTTP Basic header. En savoir plus

Spring Security prend-il en charge client_secret_post méthode d'authentification du token endpoint ?

Spring Security prend en charge client_secret_post méthode d'authentification du token endpoint. Client secret in the request body. En savoir plus

Spring Security prend-il en charge client_secret_jwt méthode d'authentification du token endpoint ?

Spring Security prend en charge client_secret_jwt méthode d'authentification du token endpoint. JWT client assertion signed with the client secret (RFC 7523). En savoir plus

Spring Security prend-il en charge private_key_jwt méthode d'authentification du token endpoint ?

Spring Security prend en charge private_key_jwt méthode d'authentification du token endpoint. JWT client assertion signed with the client's private key (RFC 7523). En savoir plus

Spring Security prend-il en charge tls_client_auth méthode d'authentification du token endpoint ?

Spring Security prend en charge tls_client_auth méthode d'authentification du token endpoint. Mutual-TLS client authentication (RFC 8705), with both CA-issued (tls_client_auth) and self-signed certificate (self_signed_tls_client_auth) methods. En savoir plus

Spring Security prend-il en charge RP-initiated Logout fonctionnalité ?

Spring Security prend en charge RP-initiated Logout fonctionnalité. OpenID Connect RP-Initiated Logout endpoint on the authorization server, validating post_logout_redirect_uri. The relying party side offers RP-initiated and back-channel logout. En savoir plus

Spring Security prend-il en charge Dynamic Client Registration Protocol fonctionnalité ?

Spring Security prend en charge Dynamic Client Registration Protocol fonctionnalité. OIDC Dynamic Client Registration endpoint, disabled by default and protected by a bearer token carrying the client.create scope. En savoir plus

Spring Security prend-il en charge Dynamic Client Registration Management Protocol fonctionnalité ?

Spring Security prend partiellement en charge Dynamic Client Registration Management Protocol fonctionnalité. A client configuration endpoint supports reading a registered client (client.read scope). Updating and deleting through the registration management protocol is not documented. En savoir plus

Spring Security prend-il en charge Refresh Token Rotation fonctionnalité ?

Spring Security prend en charge Refresh Token Rotation fonctionnalité. A new refresh token is issued on each use when reuseRefreshTokens is disabled in TokenSettings. Refresh tokens are reused by default. En savoir plus

Spring Security prend-il en charge Délai de grâce pour la rotation des refresh tokens fonctionnalité ?

Spring Security ne prend pas en charge Délai de grâce pour la rotation des refresh tokens fonctionnalité. Not documented. En savoir plus

Spring Security prend-il en charge OAuth 2.0 Demonstrating Proof of Possession (DPoP) fonctionnalité ?

Spring Security prend en charge OAuth 2.0 Demonstrating Proof of Possession (DPoP) fonctionnalité. DPoP-bound access tokens (RFC 9449) are issued by the authorization server for all grant types, with cnf.jkt in JWT access tokens. The resource server validates DPoP proofs for JWT and opaque tokens. En savoir plus

Spring Security prend-il en charge FAPI 1.0 Security Profile - Part 1: Baseline fonctionnalité ?

Spring Security ne prend pas en charge FAPI 1.0 Security Profile - Part 1: Baseline fonctionnalité. No conformance claim.

Spring Security prend-il en charge FAPI 1.0 Security Profile - Part 2: Advanced fonctionnalité ?

Spring Security ne prend pas en charge FAPI 1.0 Security Profile - Part 2: Advanced fonctionnalité. No conformance claim.

Spring Security prend-il en charge FAPI 2.0 Message Signing fonctionnalité ?

Spring Security ne prend pas en charge FAPI 2.0 Message Signing fonctionnalité. No conformance claim.

Spring Security prend-il en charge JARM fonctionnalité ?

Spring Security ne prend pas en charge JARM fonctionnalité. Not documented.

Comparer avec d'autres fournisseurs

Remarque : Les données actuelles sont basées sur la documentation/l'expérience des fournisseurs et peuvent ne pas être exactes à 100 %.