oauth-2.0 - OpenID 连接 : Resource Owner Password Credentials

Question

OIDC 不支持资源所有者密码凭据授予。为什么？我的一些客户端是安全设备，可以安全地维护凭据......这些凭据可用于获取 access_token。我还可以使用 OpenID Connect 吗？

Answer 1

规范中没有明确说明，但 OpenID Connect 支持所有 OAuth 2.0 流程，因为它是 OAuth 2.0 的扩展。

该规范讨论了涉及浏览器重定向的流程，因为它们更常见、更安全且更不易损坏，因为资源所有者凭据仅支持用户名和密码，并且仅在 OAuth 2 规范中用于向后兼容。在真正的 SSO 系统中，您希望从在 OP/IDP 验证用户的方法中抽象出来。使用浏览器是一种方法。

但是您的里程可能会有所不同。支持特定的 OP/AS 软件和客户端库。

FWIW:您应该寻求获得 id_token 而不是 access_token。