静态站自定义OIDC实现：如何无需重授权登录/刷新JWT？

1. 消除重复授权的核心参数：prompt #

你当前每次跳转授权端点都触发用户确认，是因为身份提供商（IdP）默认要求显式授权。只需在重定向到authorization_endpoint时添加prompt=none参数：

• 作用：告知IdP无需用户交互，直接返回已授权凭证（前提是用户之前已授权过你的应用，且IdP端会话仍有效）
• 异常处理：如果用户未授权过、IdP会话过期或权限变更，IdP会返回login_required或consent_required错误，此时需重定向到不带prompt=none的授权端点，让用户完成首次授权/重新登录

2. JWT过期后的处理流程 #

当检测到当前JWT过期（解析JWT的exp字段判断），执行以下步骤：

1. 构造授权请求URL，包含必要参数：

   response_type=id_token
   response_mode=form_post
   scope=email profile openid
   client_id=你的客户端ID
   redirect_uri=你的回调地址（需与IdP配置一致）
   nonce=随机字符串（防止重放攻击，必须每次请求生成）
   prompt=none
   

2. 重定向用户到该授权URL：
   • 若用户在IdP端有有效会话且已授权，IdP会直接返回新的id_token，无需用户操作
   • 若返回错误（如login_required），则跳转回常规授权流程（不带prompt=none），让用户登录/授权

3. 关键注意事项 #

• nonce必须唯一：每次请求生成新的随机字符串，验证id_token时需核对该值，避免重放攻击
• IdP会话有效期：用户在IdP的登录会话过期后，即使加了prompt=none也会触发登录，这是正常安全机制，无法绕过
• 客户端配置：确保应用在IdP后台已配置正确的redirect_uri，且权限范围（scope）与首次授权一致

内容的提问来源于stack exchange，提问作者Philip Couling