Google OpenID Connect：携带max_age参数请求认证未收到auth_time声明

根据OpenID Connect核心规范，当认证请求中包含max_age参数时，返回的ID Token必须包含auth_time声明，这是明确的强制要求。如果你的请求符合规范但未收到该字段，可按以下方向排查：

• 检查max_age参数的传递有效性：确保参数是正整数（单位为秒），且正确通过授权请求的查询参数或请求体传递，没有被网关、代理或身份提供商（IdP）的配置规则过滤丢弃。
• 验证身份提供商的配置：部分IdP可能需要手动开启auth_time的返回开关，或者对max_age设置了额外阈值（比如仅当max_age小于特定值时才返回该声明），建议检查IdP的控制台配置或内部文档确认。
• 确认会话复用场景的合规性：即便用户当前会话的认证时间距离请求时间小于max_age，IdP直接复用会话的情况下，规范仍要求返回auth_time，这种情况不能作为字段缺失的合理理由。
• 检查ID Token的解码流程：确保你正确解码了ID Token的Payload部分，而非仅查看未解析的原始Token字符串，避免因解码操作错误导致误以为字段缺失。

内容的提问来源于stack exchange，提问作者dmitryy