openid-connect - 什么是 OpenID Connect Back-channel 注销中注销 token 中的 sid 声明？

Question

我目前正在处理一个与 OpenID Connect Back-channel 注销相关的项目。我需要将 sid 作为声明包含在 specification 中提到的注销 token 中.

sid- OPTIONAL. Session ID - String identifier for a Session. This represents a Session of a User Agent or device for a logged-in End-User at an RP. Different sid values are used to identify distinct sessions at an OP. The sid value need only be unique in the context of a particular issuer. Its contents are opaque to the RP. Its syntax is the same as an OAuth 2.0 Client Identifier.

从对 sid 的解释来看，我对它是否告诉 RP 的最终用户的 session-id 或 OP 的 RP 的 session-id 有一些困惑。

提前致谢。

Answer 1

SID = 最终用户在特定设备/用户代理等上的 session 的唯一标识符。
假设我在游戏应用程序和游戏应用程序中从 android 手机登录，并使用 openID 并通过 Facebook 或 Google 进行身份验证。游戏应用程序启动用户代理并连接到 OpenID 提供程序。在这里进行身份验证，应用程序获取 ID token (其中包含 SID)。游戏应用程序从 OpenID 提供者请求用户声明，然后在设备上创建一个 session ，但发送用户信息以在游戏应用程序服务器(此处为 RP)上创建 session 。

现在假设我在同一部手机或不同的手机上登录另一个应用程序并做了完全相同的事情。我现在登录了两个不同的应用程序，它们有自己的 session ，但我将在 OP 进行两个 session 。 OP 将如何区分要杀死的 session 。如果没有 SID，它将杀死所有 session ，并且 SID 存在，只有那个 session 可以被杀死。

这是我能给出的最简单的解释。其他一切都是如何实现的。