OAuth与OpenID：何时以及为什么使用它们感到困惑

Question

OAuth与OpenID：何时以及为什么使用它们感到困惑

authenticationoauth-2.0authorizationopenid

3

最近我在阅读关于OpenID和OAuth2的内容。我看到了一些问题（如这个和这个），但从我所读的内容来看，你可以使用OAuth进行认证，而不仅仅是授权。对于第二个问题，我读到了以下内容：

如果您在网站上拥有带有某些私有资源的帐户，您可以使用用户名/密码组合进行登录。如果应用程序想要获取某些私有资源，并且您不想向它们提供您的用户名/密码，请使用OAuth。

但是，如果您想使用唯一帐户登录多个网站，请使用OpenID。

这引起了更多的困惑（Dominick Baier在他的演示中说，如果你这些年没有听说过OAuth2，则在过去几年中你一直生活在洞穴里，所以似乎这就是我的情况）：如果我拥有许多网络服务（API），并且如果我有一个STS服务来为所有API请求令牌，那么我是否正在使用OpenID？ OAuth是否不能扩展授权以使用单个STS服务扩展到多个站点？

当您尝试向我解释时，请考虑我之前没有实施过身份验证或授权过程。

- Buda Gavril

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Spomky-Labs · Accepted Answer

你是对的：基于OAuth2的许多授权服务器提供了一种身份验证的方式。但是OAuth2并不是为此而设计的。在OAuth2的上下文中，客户端只有一个访问令牌来检索/管理资源，它对资源所有者一无所知。

这就是为什么创建了OpenID Connect协议。它建立在OAuth2框架协议之上，允许客户端获取有关资源所有者的信息。

我建议您查看这个非常有趣的演讲（从4:44开始）。这个视频帮助了我很多，理解了每个令牌的用途。我希望它也能帮助到你。