O parte care se bazează solicită domeniul openid de la un OpenID Provider, care autentifică utilizatorul final și returnează un ID Token conținând revendicări verificabile despre evenimentul de autentificare și subiect. Protocolul poate furniza și revendicări selectate printr-un endpoint UserInfo.
Într-un flux comun cu cod de autorizare, partea care se bazează primește un cod prin browser și îl schimbă la endpointul de tokenuri. Trebuie să valideze semnătura ID Token-ului, emitentul, audiența, expirarea și valorile de legare la tranzacție precum nonce, după caz. Descoperirea și înregistrarea furnizorului pot automatiza configurația, dar doar în cadrul unui model de încredere care determină ce emițători, endpointuri, chei și algoritmi sunt acceptabili.
Puncte esențiale
Roluri de protocolOpenID Provider efectuează autentificarea și emite revendicări; partea care se bazează validează răspunsul și creează propria sesiune de aplicație.
Artefacte separateFolosiți ID Token-ul pentru a înțelege rezultatul autentificării și folosiți un token de acces doar pentru resursa protejată intenționată; tokenurile nu sunt interschimbabile.
Confidențialitate și ciclu de viațăSolicitați doar revendicările necesare, folosiți identificatorii stabili cu atenție, protejați sesiunile, gestionați rotirea cheilor de semnare și definiți explicit comportamentul de deconectare și modificare a contului.
Limitare importantăUn ID Token valid dovedește doar revendicările și contextul de autentificare afirmat de un furnizor de încredere. Nu stabilește identitatea legală, autorizarea curentă a aplicației sau siguranța sesiunii locale rezultate.