Strona ufająca żąda zakresu openid od OpenID Provider, który uwierzytelnia użytkownika końcowego i zwraca ID Token zawierający weryfikowalne oświadczenia (claims) o zdarzeniu uwierzytelnienia i podmiocie. Protokół może też dostarczać wybrane oświadczenia przez punkt końcowy UserInfo.
W powszechnym przepływie z kodem autoryzacyjnym strona ufająca otrzymuje kod przez przeglądarkę i wymienia go w punkcie końcowym tokenów. Musi zweryfikować podpis ID Token, wydawcę, odbiorcę, wygaśnięcie i wartości wiążące z transakcją, takie jak nonce, stosownie do przypadku. Odkrywanie dostawcy i rejestracja mogą zautomatyzować konfigurację, ale tylko w ramach modelu zaufania określającego, którzy wydawcy, punkty końcowe, klucze i algorytmy są akceptowalne.
Najważniejsze punkty
Role protokołuOpenID Provider wykonuje uwierzytelnianie i wydaje oświadczenia; strona ufająca waliduje odpowiedź i tworzy własną sesję aplikacyjną.
Odrębne artefaktyUżywaj ID Token do zrozumienia wyniku uwierzytelnienia, a tokena dostępu tylko dla jego zamierzonego chronionego zasobu; tokeny nie są wymienne.
Prywatność i cykl życiaŻądaj tylko niezbędnych oświadczeń, używaj stabilnych identyfikatorów ostrożnie, chroń sesje, zarządzaj rotacją kluczy podpisujących i zdefiniuj zachowanie wylogowania oraz zmian konta wprost.
Istotne ograniczenieWażny ID Token dowodzi jedynie oświadczeń i kontekstu uwierzytelnienia twierdzonych przez zaufanego dostawcę. Nie ustanawia tożsamości prawnej, bieżącej autoryzacji aplikacji ani bezpieczeństwa powstałej sesji lokalnej.