OIDC - когда я должен получить id_token?

Question

Для моего приложения я планирую использовать oauth2 Resource Owner Password Credential Grant с сервером OIDC.
Так что я думаю, что я немного запутался в процессе.
Так что, как я понимаю, я должен вернуть id_token вместе с access токеном, когда мы используем Password grant, мы пропускаем этап авторизации - правильно ли я понимаю?

Большинство примеров в Интернете, похоже, относятся к получению id_token вместе с запросом на авторизацию, а не к запросу на токен ... plz help.

Редактировать: я был бы признателен за конструктивную критику, а не простопонижающие голоса.

Answer 1

Предоставление пароля для владельца ресурса ( ROPCG ) - это тип предоставления, определенный в рамках OAuth 2.0 .А идентификатор токена определяется протоколом OpenID Connect (OIDC).OIDC является расширением (построенным поверх) OAuth 2.0, поэтому он наследует большинство вещей от OAuth 2.0

. Если вы проверите спецификацию OAuth 2.0, вы увидите, что ROPCG пропускает запрос авторизации.Это делается как получение гранта конечным пользователем (владельцем ресурса) теперь через само клиентское приложение (для потока кода аутентификации или неявного потока это выполняется сервером аутентификации).Таким образом, токены получают напрямую через конечную точку токена сервера авторизации.Так что да, он пропускает этап авторизации, но клиент выполняет получение гранта конечного пользователя.

Хорошо, теперь идентифицируем токен с грантом ROPCG.Это зависит от того, какой провайдер вы используете.Хотя в спецификации OIDC не упоминается поток ROPCG, поставщики удостоверений могут выдавать токены id с ответом токена.Это также допускается спецификацией OAuth 2.0.Так что, если ваш провайдер идентификации (сервер авторизации) поддерживает это, вы можете получить идентификатор токена из ответа токена.