基于node-oidc-provider的OIDC邮箱验证流程相关问题咨询

1. 自定义email-verification prompt是否符合OpenID Connect规范？ #

OpenID Connect核心规范中，prompt参数仅定义了login、consent、select_account、none这几个有效值，自定义的email-verification并不在标准范围内，严格来说不属于规范要求的实现方式。但OIDC本身支持扩展能力，只要你的身份提供商和客户端之间预先约定好这个自定义prompt的行为，是可以实现的——只是这种扩展不会被标准OIDC客户端识别，仅适用于你自己控制的客户端场景。

2. 相关参考资源 #

• oidc-provider官方文档里有自定义交互策略（包括自定义prompt）的实现说明，你可以参考其自定义interactions部分，通过扩展provider的配置来添加新的prompt类型，处理对应的验证逻辑。
• 社区中存在类似的自定义prompt实现案例，比如针对MFA（多因素认证）的自定义prompt，实现思路和你需求一致：通过扩展prompt参数，触发特定的验证流程，完成后回到原有授权链路。

3. 跨端（移动端→网页端→移动端）验证后的重定向方案 #

可以通过以下几种方式实现无错误跳转：

• 在验证链接中携带移动端客户端标识：发送验证邮件时，把移动端的client_id、redirect_uri（或者一个预定义的移动端跳转标识）作为参数附加到验证链接中。验证完成后，先跳转到一个中间页面（网页端），该页面读取这些参数，然后通过App Scheme（如yourapp://auth/callback）或Universal Link/App Link直接唤起移动端应用，并携带验证成功的会话信息。
• 关联用户会话跨客户端授权：验证完成后，在身份提供商侧标记该用户已完成邮箱验证。此时可以生成一个一次性的授权凭证，然后引导用户回到移动端应用，移动端应用使用自己的client_id发起授权请求，身份提供商检测到用户已完成验证且有有效会话，直接跳过验证步骤完成授权。
• 安全参数校验：无论哪种方式，都要确保传递的client_id和redirect_uri是预先在身份提供商侧注册过的合法值，避免恶意参数导致的跳转攻击。

内容的提问来源于stack exchange，提问作者Dat Nguyen