OpenID Connect

OpenID Connect(简称OIDC)是一套建立在OAuth 2.0授权框架之上的身份认证协议。OAuth 2.0本身只解决授权问题,即让应用代表用户访问资源,而OIDC在其上补充了标准化的身份认证能力,通过一个称为ID令牌的凭证向应用证明用户是谁。它是当今第三方登录和企业单点登录的事实标准。

概述

OIDC由OpenID基金会制定,旨在统一各家五花八门的登录实现。用户通过身份提供方(如企业目录或社交账号)完成认证后,应用便能收到一个包含用户标识和基本资料的ID令牌,无需自行管理密码。因为建立在成熟的OAuth 2.0之上,OIDC复用了其授权码、令牌端点等机制,兼容性和安全性都得到保障。

核心原理

• ID令牌:采用JWT格式,包含用户唯一标识、签发方、有效期等声明,并由身份提供方签名。
• 基于OAuth 2.0:沿用授权码流程等标准授权流,认证与授权协同工作。
• 用户信息端点:应用可凭访问令牌获取更详细的用户资料。
• 标准化发现:通过公开的配置文档自动获取端点地址和签名公钥。

应用场景

OIDC广泛用于使用社交或企业账号一键登录第三方网站,也是企业内部单点登录的核心协议,员工登录一次即可访问众多内部系统。云服务、SaaS平台和移动应用普遍采用它对接身份提供方,配合零信任架构统一管理访问控制。

常见问题

问:OIDC和OAuth 2.0是什么关系?答:OAuth 2.0负责授权,OIDC在其之上增加了认证层,回答用户是谁这一问题,二者常配合使用。

问:ID令牌和访问令牌有何区别?答:ID令牌供应用确认用户身份,访问令牌供应用调用受保护资源,用途不同不可混用。