OIDC Client：为不同角色用户创建两类登录入口

复用同一登录逻辑时，核心是通过授权请求传递标识+校验身份提供商（IdP）返回的用户信息来区分角色，具体可按以下方式实现：

• 利用state参数做入口标记
  给两个登录链接发起的OIDC授权请求设置不同的state值，比如管理员链接用state=admin_entry，普通用户链接用state=user_entry。当IdP回调到你的应用时，会原样返回这个state参数，你可以根据它判断用户的登录入口，再结合IdP返回的用户角色声明（比如ID Token里的roles字段）做权限匹配。

• 用acr_values指定认证上下文
  OIDC标准里的acr_values参数可以用来指定认证要求，比如给管理员链接添加acr_values=admin_auth，普通用户链接用acr_values=user_auth。你可以在IdP端配置不同的认证流程（比如管理员需要短信验证），同时让IdP在返回的Token中携带对应角色信息，客户端直接解析即可识别角色。

• 直接校验IdP返回的角色声明
  不管用户从哪个链接登录，IdP都会在ID Token或UserInfo接口返回用户的实际角色（比如roles、groups这类字段）。客户端只需要解析这些字段，就能确定用户的真实角色，再和登录入口做匹配（比如如果用户从管理员链接进来，但角色是普通用户，就拦截进入管理员页面的请求）。

• 自定义请求参数（部分IdP支持）
  有些IdP允许在授权请求中添加自定义参数，比如role_hint=admin，你可以让IdP根据这个参数返回对应角色信息，或者客户端在回调时根据该参数触发不同的角色分配逻辑。

关键注意事项 #

• 绝对不能只依赖登录链接的参数标识来分配角色，必须校验IdP返回的用户实际角色，防止用户篡改链接参数冒充高权限角色。
• 优先让IdP在Token中返回明确的角色信息，这是最安全可靠的方式，客户端只需解析Token即可完成角色判断。

内容的提问来源于stack exchange，提问作者Daniel