我之前一直在使用 OAuth 资源所有者凭据流进行授权。
但是，我现在想考虑在此步伐中使用 openid connect 进行身份验证和授权，并且想知道 openid connect 是否支持资源所有者凭据流。
问问题
14165 次
3 回答
23
是的，OpenID Connect 支持所有 OAuth 2.0 授权类型，包括资源所有者密码凭据授权和客户端凭据授权。
众所周知，授权码授予和隐式授予是典型的三足流程，包括客户端、授权服务器和用户之间的交互。虽然资源所有者密码凭据授予和客户端凭据授予是两条腿的，这意味着客户端使用预授权范围，因此无需与用户交互，无需在典型流程中执行其中一条腿。
这是一个参考：Configuring an OpenID Connect Provider to enable 2-legged OAuth requests
于 2014-06-05T02:58:25.117 回答
10
答案是肯定的。它在规范中没有明确说明，但 OpenID Connect 支持所有 OAuth 2.0 流程，因为它是 OAuth 2.0 的扩展。
该规范讨论了涉及浏览器重定向的流程，因为它们更常见、更安全且不那么脆弱，因为资源所有者凭据仅支持用户名和密码，并且仅在 OAuth 2 规范中以实现向后兼容性。
在真正的 SSO 系统中，您希望从在 OP/IDP 验证用户的方法中抽象出来。涉及浏览器是一种方法。在资源所有者密码凭证流程中，客户端“看到”资源所有者的用户名/密码，这与其他流程不同，这违背了像 OpenID Connect 这样的联合 SSO 协议的主要目的，其中身份验证机制和凭证应该独立于客户端/应用程序。出于这个原因，您不会在 OpenID Connect 中看到太多 ROPC 的使用，但在企业内部用例中可能会有例外。
但是您的里程可能会有所不同。支持特定的 OP/AS 软件和客户端库。
于 2014-12-30T23:57:08.027 回答