openid-connect - OpenID 连接 : Is it an error to request scope openid with response_type token

Question

存在一个行为不当的 OpenID Connect“兼容”iDP(它现在应该保持无名)——它在使用范围 openid 和任何包含 id_token 的 response_type 时抛出错误。这肯定是一个已报告的错误。

当作用域包括 openid 并且 response_type 只是“token”时，同一个 iDP 也会在隐式流中返回 id_token。这弄乱了广泛使用的 oidc-client npm 包，它报告错误“不期望 id_token 响应”——根据 OIDC 规范，这是严格正确的

但这提出了一个有趣的问题:

根据 OIDC 规范第 1 部分的基本前提:

OpenID Connect implements authentication as an extension to the OAuth 2.0 authorization process. Use of this extension is requested by Clients by including the openid scope value in the Authorization Request.

第 3.2.2.1 节说

NOTE: While OAuth 2.0 also defines the token Response Type value for the Implicit Flow, OpenID Connect does not use this Response Type, since no ID Token would be returned.

因此，将两者一起使用是错误的吗？或者 openid 在范围内的事实是否应该导致实现默认将 id_token“添加”到隐式流的 response_type？

Answer 1

如我所见，OpenID Connect 提供程序应该返回一个错误。它应该使用由 OAuth 2.0 specification 定义的错误代码 invalid_request 用于隐式错误响应。

The request is missing a required parameter, includes an invalid parameter value, includes a parameter more than once, or is otherwise malformed.

但从规范的角度来看，错误响应不是必需的/强制的。它只是说带有 token 的响应类型无效。

NOTE: While OAuth 2.0 also defines the token Response Type value for the Implicit Flow, OpenID Connect does not use this Response Type, since no ID Token would be returned.

我认为提到的 OpenID Connect 提供商仅尊重范围值并将请求作为 OpenID Connect 请求提供服务。因此，您会得到一个 id token 作为响应。