基于OpenID Connect外包Web应用用户管理的可行性及问题咨询

核心疑问：外包用户管理是否可行？ #

完全可行，这是企业级身份管理中非常成熟的方案。通过自定义企业IDP统一管理用户身份，Web应用可专注自身业务逻辑，实现认证与业务的解耦。

你的假设是否正确？ #

你的三个假设全部成立：

• 授权服务器（OAuth 2.0）就是OpenID提供商（OP）：OIDC是基于OAuth 2.0的认证扩展层，OP本质就是具备认证能力的OAuth 2.0授权服务器，既可以签发标准id_token（用于身份认证），也可根据需求自定义扩展access_token的内容（只要双方约定好格式与校验规则即可）。
• 客户端重定向至IDP登录页完成授权：这是OIDC授权码流程（Web应用最推荐的流程）的标准步骤，用户通过IDP的登录页完成身份验证后，由IDP将认证结果返回给客户端。
• 仅需OpenID认证功能，无需请求API权限：完全合理。OIDC的核心价值就是提供身份认证能力，你只需请求openid基础scope即可，应用自身的权限与许可管理可完全独立于IDP，实现认证与业务授权的分离。

具体问题解答 #

1. 我方站点需存储哪些内容？会话、用户信息及账户变更处理 #

• 会话存储：需要存储应用自身的用户会话。OIDC的id_token通常是短期有效一次性凭证，应用验证id_token合法性后，需生成自己的会话（比如通过Cookie存储会话ID，后端关联会话数据），避免用户频繁跳转至IDP。
• 用户信息存储：建议仅存储必要的核心信息，比如OIDC标准的用户唯一标识sub（必须存储，用于关联应用内的用户资源）、用户名、邮箱等展示类信息。敏感信息（如密码）绝对不要存储，IDP会负责身份凭证的安全管理。
• 账户变更处理：
  • 定时同步：定期调用IDP的UserInfo端点或批量查询接口，拉取用户最新状态（删除、停用、重命名），更新本地数据并失效对应会话。
  • 实时通知：如果自定义IDP支持Webhook，配置用户状态变更的通知事件，当IDP侧用户状态变化时主动推送至你的应用，应用即时处理。
  • 敏感操作校验：在用户执行高敏感操作（如修改权限、支付）时，调用IDP的Introspect端点或UserInfo端点验证用户当前状态，确保身份有效。

2. OP与IDP的通信协议？ #

先澄清概念：OIDC中的OpenID提供商（OP）就是你所说的身份提供商（IDP），两者是同一个角色，不存在OP与IDP之间的通信。

你的Web应用（OIDC客户端）与IDP/OP之间的通信，使用的是OpenID Connect协议（基于OAuth 2.0扩展），而非SAML。SAML是另一种独立的身份认证协议，多用于传统企业系统集成，OIDC则更轻量、适配现代Web/移动应用场景。

3. 场景是否复杂？有无更合适的替代方案？ #

• 复杂度分析：如果从零开发自定义IDP，确实存在一定复杂度（需处理身份存储、认证流程、安全防护等）。但如果使用开源成熟IDP（如Keycloak、Authelia），可大幅降低开发与运维成本，仅需简单配置与集成即可。
• 替代方案：
  • 托管式IDP服务：无需自行部署维护IDP，直接通过API/SDK完成集成，适合不愿投入运维资源的场景。
  • SAML协议：若你的环境中有大量传统企业系统，SAML也是可选的身份集成方案，但对比OIDC，学习成本更高、流程更繁琐。
  • 注：传统本地用户管理方案不符合你“外包用户管理”的核心需求，不推荐。

内容的提问来源于stack exchange，提问作者testing