OpenID Connect

OpenID Connect (OIDC) 为 OAuth 2.0 添加了身份验证功能。除了访问令牌之外，授权服务器还会颁发一个 ID 令牌——一个 JWT，其声明用于标识用户（主体、颁发者、受众、颁发时间和过期时间），客户端可以使用提供商的公钥来验证该 ID 令牌。 "Sign in with Google"和大多数企业单点登录都基于 OIDC。

工作原理

客户端通过位于/.well-known/openid-configuration发现文档了解提供商的端点和功能，在授权码流程中请求 OpenID 范围，接收 ID 令牌，并根据提供商 JWKS URL 上发布的密钥验证其签名。此外，客户端还必须检查颁发者、受众和过期时间。

误解

解码 ID 令牌与验证 ID 令牌的过程相同。任何人都可以解码 JWT；但要信任其声明，需要使用正确的密钥检查签名，并确认该令牌是由预期提供商为该客户端颁发的，且尚未过期。

点击这里试试

Modern Identity API 提供 GET /identity/v1/.well-known/openid-configuration上的发现文档和 GET /identity/v1/jwks上的密钥集；工具部分中的 JWT 解码器显示令牌携带的内容。

相关内容

• What a JWT is
• JWT解码器

资料来源

• OAuth 2.0 — RFC 6749
• JWT — RFC 7519
• JWT best practices — RFC 8725

其他术语

• JWT（JSON Web Token） — 以签名 JWS 或加密 JWE 形式表示声明的紧凑格式。
• JWKS — JSON Web 密钥集——发行者发布的公钥，以便任何人都可以验证其签名的代币。
• Bearer 令牌 — 一种凭证，持有者即可获得访问权限——谁持有它就可以使用它。
• 刷新令牌 — 仅用于获取新的短期访问令牌的长期凭证，无需用户再次登录。
• OAuth 2.0 — 该标准框架允许应用程序获取有限的访问令牌，而不是处理用户的密码。
• PKCE — 代码交换证明密钥——一次性密钥，可防止被盗的 OAuth 授权码被其他人兑换。

阅读英文版

所有术语 · 测试技巧 · 全部 39 个模拟 REST API

最后更新时间 2026年10月16日