OpenID Connect身份令牌：应由SaaS还是上游SSO IdP提供商签发？

核心结论 #

优先选择自研ID令牌作为面向消费者的统一凭证，同时可保留上游IdP令牌用于内部校验（若有需要）。

自研ID令牌的核心优势 #

• 统一系统适配性：无论用户采用本地登录、第三方SSO还是SAML认证，所有用户的令牌格式、声明字段、过期策略完全一致，下游服务（前端应用、API网关等）无需适配多种令牌标准，大幅降低开发与维护成本。
• 完全业务控制权：可自定义令牌包含的业务字段（如用户角色、租户信息、权限范围），无需依赖上游IdP的配置；令牌的签发、刷新、吊销逻辑全由SaaS侧掌控，不会因上游IdP的变更（格式调整、服务中断）影响自身业务。
• 隔离依赖风险：若某第三方IdP出现故障或停止服务，自研令牌可保证已登录用户的会话不受影响，仅需临时切换认证方式即可，用户感知不到底层认证源的变化。

上游IdP令牌的适用场景 #

如果SaaS需要与上游IdP进行双向信任交互（如调用IdP的用户信息API、获取额外权限凭证），可在内部保存上游令牌，但不要直接暴露给消费者。此时自研令牌作为对外统一入口，上游令牌仅用于后台身份校验与扩展操作。

额外注意事项 #

• 自研令牌需严格遵循OpenID Connect标准以确保兼容性；签名算法建议使用行业通用的RS256或ES256，避免对称加密算法（如HS256）带来的密钥泄露风险。
• 需完善令牌生命周期管理：实现可靠的刷新机制、合理的过期策略，以及主动吊销令牌的功能，保障账号安全。

内容的提问来源于stack exchange，提问作者Grokify