является ли @ EnableOAuth2Sso аннотация OpenID Connect совместимой?

Question

OpenID connect - для аутентификации (единый вход). oauth2 - для авторизации (но вы все равно можете использовать ее для аутентификации), хотя она уязвима для некоторых видов Confused Заместительная атака.

Поэтому возникает вопрос:

Плохо ли названа пружина @EnableOAuth2Sso или аннотация действительно НЕ соответствует OpenID connect spe c?

Если бы это было так, я бы ожидал, что его назовут @EnableOpenIdConnectSso

Answer 1

Нет, @EnableOAuth2Sso не поддерживает OpenID Connect. Тем не менее, я думаю, что это имя может иметь смысл, даже если оно поддерживает OID C, поскольку потенциально может поддерживать оба. Другими словами, я ожидал бы, что @EnableOpenIdConnectSso будет поддерживать только OID C, тогда как @EnableOAuth2Sso, получив более общее название, может поддерживать как пользовательские потоки OAuth 2.0, так и стандарт OID C.

И хотя вы не спрашивали об этом, я бы порекомендовал использовать встроенную поддержку Spring Security вместо проекта плагина, который сейчас устарел. (Эта аннотация существует только в устаревшем проекте.) Встроенная поддержка поддерживает поддержку OID C и будет использовать ее автоматически при наличии области действия openid.