azure - 了解 Azure B2C Auth 流程 - Oauth 2.0 和 openID 连接

Question

我很难掌握 B2C 身份验证和授权流程。有人可以解释一下吗:

• 如果我使用同意的用户登录，为什么我们需要客户端凭据？何时使用这些客户端凭据？
• 流程中何时使用 openID 以及何时使用 Oauth 2.0？
• ID token 和访问 token 之间有区别吗？如果是这样，有什么区别以及为什么我们需要两者？ ID token 是我登录时获得的 token ，访问 token 是我请求访问 API 时获得的 token 吗？

Answer 1

Why do we need client credentials if I sign in with a user who gives consent? and when are these client credentials used?

您的应用在请求访问 token 时需要证明其身份。

在授权代码流程中，它们与授权代码一起使用，以便在用户重定向回您的应用后获取访问 token 。

When is openID used and when is Oauth 2.0 used in the flow?

OpenID Connect 将身份验证添加到专注于授权的 OAuth。因此，当您重定向用户登录时，您正在使用 OIDC。然后，当您通过交换凭据获取访问 token 时，您正在使用 OAuth。 (至少这是我的理解)

Is there a difference between the ID token and the access token? if so, what is that difference and why do we need both? Is ID token the one I get when I sign in, and access token is what I get when I request access to an API?

是的。尽管它们在某些方面很相似。登录后会提供一个 ID token (如果您要求提供)。它旨在识别用户并由请求身份验证的应用程序使用。它包含用户的显示名称等声明。应用程序请求访问 token ，但并不意味着该应用程序可以读取它。它旨在附加到对另一个 API 的请求，然后验证 token 并从中获取调用者的信息。您的理解是正确的。