google-oauth - Google 正在更新他们的 OpenID Connect 实现以完全符合规范，我会遇到什么问题吗？

Question

Google 将其 OpenID Connect 端点更新为完全 spec合规，作为 OpenID Certification 的一部分努力。我依靠 OpenID Connect 将我的用户登录到 Google。作为依赖方，我需要做些什么来避免因这些变化而中断吗？

Answer 1

这取决于您如何将 OpenID Connect 与 Google 结合使用。如果您通过获取 https://accounts.google.com/.well-known/openid-configuration 执行动态发现按照文档的建议，您的服务器与 Google 交互的方式将会改变，但只有当您的实现无法处理更新、更符合规范的响应时，您才会受到影响。

另一方面，如果您直接对各种端点(即 auth 和 token 端点)进行了硬编码，那么您将与这些更改隔离开来，但您应该考虑迁移到新的端点。

新端点的主要变化包括:

1. ID token 颁发者(iss 声明)从 accounts.google.com 更改为 https://accounts.google.com(在迁移期间，您应该接受任何一个值)
2. 如果您的response_type 包含id_token，您必须包含一个nonce，否则您的请求将出现硬错误。

如果您使用的是符合规范的 OpenID Connect 库，那么理论上一切都应该像以前一样继续工作。

为避免在迁移期间出现任何可能的问题(或者如果您的网站突然崩溃)，您可以硬编码以下 URL 以获取以前的发现文档:https://google.com/accounts/o8/well-known-openid-configuration-old.json (或使用其中的值对您的身份验证和 token 端点进行硬编码)。由于本文档指向旧版本的端点，您将获得旧的行为。然后，您可以在闲暇时使用最新端点(如当前 discovery document 中所见)测试您的产品。

要比较差异或查看完整的新旧版本，请参阅 this gist .