ORY Hydra 镜像文档

镜像概述和主要用途

ORY Hydra 镜像是一个开源的OAuth 2.0和OpenID Connect（OIDC）身份验证服务器实现，专注于安全性和可扩展性。该镜像提供了开箱即用的身份验证服务，适用于构建现代应用程序的身份管理系统，支持第三方应用授权和用户身份验证流程。

核心功能和特性

• 完整协议支持：兼容OAuth 2.0（支持授权码、隐式、密码、客户端凭证等标准授权流程）和OpenID Connect 1.0（包括身份令牌、用户信息端点、发现端点等）。
• 安全优先设计：遵循OAuth 2.0和OIDC安全最佳实践，内置防CSRF、防注入等安全机制，支持加密存储敏感数据。
• 高可扩展性：支持水平扩展，可通过数据库（如PostgreSQL、MySQL）共享状态，适用于大规模部署场景。
• 灵活集成：支持与外部身份提供商（IdP）集成，可通过配置连接LDAP、SAML等系统，实现身份联合。
• 自动化管理：提供命令行工具（hydra）和REST API，支持客户端注册、令牌管理、密钥轮换等操作的自动化。

使用场景和适用范围

• 企业级身份验证系统：为内部或外部应用提供统一的身份验证和授权服务。
• API访问控制：管理第三方应用对API的访问权限，实现基于令牌的API安全访问。
• 多租户SaaS应用：支持多租户环境下的身份隔离和权限管理。
• 单点登录（SSO）：为多个应用提供统一的登录入口，提升用户体验并简化身份管理。
• 开发与测试环境：提供快速部署的身份服务，加速应用开发流程。

使用方法和配置说明

基本使用示例

Docker Run 命令（开发环境）

以下命令启动Hydra开发实例（注意：生产环境需配置HTTPS和安全存储）：

bash
docker run -p 4444:4444 -p 4445:4445 oryd/hydra serve all --dangerous-force-http

• -p 4444:4444：映射公共API端口（供客户端和资源服务器访问）
• -p 4445:4445：映射管理API端口（供管理员操作）
• --dangerous-force-http：开发模式下禁用HTTPS（生产环境必须启用HTTPS）

生产环境配置要点

1. 数据库配置：Hydra依赖外部数据库存储状态，需通过环境变量指定数据库连接字符串（DSN）：

   bash
   docker run \
     -e DSN="postgres://user:password@postgres:5432/hydra?sslmode=require" \
     -e SECRETS_SYSTEM="your-secure-system-secret" \
     -e URLS_SELF_ISSUER="[***]" \
     -p 443:4444 \
     oryd/hydra serve all
   

   • DSN：数据库连接字符串（支持PostgreSQL、MySQL、SQLite等）
   • SECRETS_SYSTEM：用于加密敏感数据的系统密钥（生产环境需使用强随机值）
   • URLS_SELF_ISSUER：Hydra的发行者URL（必须与客户端配置一致）

2. 详细配置：完整配置参数（如TLS设置、日志级别、令牌生命周期等）请参考***文档。

参考文档

有关镜像的详细使用方法、配置选项、API文档及最佳实践，请查阅ORY Hydra***文档。