01
创建客户端
进入控制面板登记应用和回调地址。
- 打开“客户端管理”，点击“新建客户端”。
- 普通服务端应用保留默认类型
confidential。 - 回调地址填写应用实际处理登录结果的完整 HTTPS 地址。
- 创建后保存 Client ID 和只显示一次的 Client Secret。
5 分钟快速接入
配置 4 项信息即可开始登录。
适合已经使用 OIDC SDK 的应用。标准流程是 Authorization Code + PKCE，优先填写 Issuer URL，让 SDK 通过 Discovery 自动发现端点。
02
填写 SDK 配置
字段名称可能略有不同，但值保持一致。
- Issuer URL
https://xsxx.us.to- Client ID
创建客户端后获得- Client Secret
confidential 客户端创建或重置后获得- Redirect URI
必须与后台登记值完全一致- Scopes
openid profile email- Response Type
code- PKCE
S256
如果 SDK 要求填写 Discovery URL，请使用 https://xsxx.us.to/.well-known/openid-configuration。
03
发起登录
让 OIDC SDK 生成授权请求。
response_type=code
scope=openid profile email
code_challenge_method=S256
state=随机值
nonce=随机值不要自行省略 state / nonce 或 PKCE。回调时必须校验 state。
04
处理回调
用一次性 code 换取 Token。
回调参数：code + state
Token Endpoint：https://xsxx.us.to/oauth2/token
UserInfo：https://xsxx.us.to/oauth2/userinfo成功后验证 ID Token，再建立你自己应用的登录会话。
✓
接入成功检查
满足以下条件即可进入联调。
- 能够跳转到授权页参数中包含 client_id、redirect_uri、scope 和 PKCE。
- 允许授权后回到应用回调地址与后台登记值逐字符一致。
- 能够换取 Tokencode 只使用一次，并提交原始 code_verifier。
- 完成令牌校验校验签名、iss、aud、exp、nonce 和 state。