Jakarta EE中OIDC使用疑问：注解应用与设计合理性探讨

1. 是否需要为所有CDI/EJB类添加@OpenIdAuthenticationDefinition注解？ #

完全不需要。这类注解是全局配置专用，你只需要在一个@ApplicationScoped的CDI Bean上添加一次，用来配置OpenID提供商的核心参数（比如客户端ID、提供商元数据地址、回调URL等）即可。

举个Payara专有注解的配置示例：

@ApplicationScoped
@OpenIdAuthenticationDefinition(
    clientId = "your-client-id",
    providerURI = "https://your-oidc-provider.com",
    redirectURI = "${baseURL}/callback",
    scope = {"openid", "email", "profile"}
)
public class OpenIDConfig {}

之后所有业务类、EJB甚至第三方库中的代码，只要使用标准Jakarta EE安全API（比如@RolesAllowed、SecurityContext），就能自动获取经过OpenID认证的用户凭证，完全不需要修改业务代码。

2. 专有注解是否违背Jakarta EE面向规范的原则？ #

这里要区分两种注解：

• Payara的@OpenIdAuthenticationDefinition：这是Payara在Jakarta EE 10推出之前，自行实现的厂商专有注解，用来提前支持OpenID功能，确实会绑定到Payara服务器，属于厂商扩展。
• Jakarta EE 10新增的@OpenIdAuthenticationMechanismDefinition：这是Jakarta EE安全规范的标准注解，不属于专有实现，完全符合Jakarta EE"面向规范而非具体实现"的核心原则。只要你的应用服务器支持Jakarta EE 10+（比如Payara 6、WildFly 27+、GlassFish 7），就能跨服务器兼容使用。

如果要避免代码被厂商绑定，直接使用Jakarta EE 10的标准注解即可，不用依赖Payara的专有扩展。

3. 为何没有通用开源实现支持"单Bean配置传递用户凭证"？ #

其实Jakarta EE 10本身已经将OpenID Connect作为标准认证机制纳入规范，只要使用标准的@OpenIdAuthenticationMechanismDefinition注解，在符合Jakarta EE 10的服务器上就能直接实现"单Bean配置+全局凭证传递"的效果，不需要额外的第三方库。

另外，像SmallRye Security这类开源项目，也提供了基于Jakarta EE规范的OpenID通用实现，不过在Jakarta EE 10之后，主流应用服务器已经内置了标准支持，所以通常不需要额外引入第三方库。之前的"无通用实现"情况，是因为当时Jakarta EE规范还未将OpenID纳入标准，厂商只能各自推出专有扩展。

内容的提问来源于stack exchange，提问作者Ralph