oauth-2.0 - 需要澄清为什么客户端应用程序需要 idtoken 和访问令牌

Question

客户端应用程序获取 idtoken 进行身份验证。但是对于资源服务器，它需要再次调用 Auth 服务器并获取访问令牌。因此，对每个 oauth2.0 流进行两次调用是否有意义。访问令牌将发送到资源服务器。我在这里错过了什么吗。

标签： oauth-2.0openid-connect

Answer 1

使用 OpenID Connect，ID-token与access-token同时返回给客户端。所以不需要特别提出两个请求来获取这两个令牌。

如果您也要求刷新令牌，那么该令牌也将同时返回。

API（资源服务器）仅从客户端接收访问令牌，并且无需询问身份提供者验证令牌即可。API 不接收任何 ID 令牌。