OpenID Connect：是否允许为机器对机器端点额外添加安全防护？

核心结论 #

除TLS外，允许为OIDC的机器对机器端点添加额外安全防护（如基础认证），但需注意协议兼容性和端点特性，避免破坏原有流程。

规范层面的留白 #

OIDC及OAuth2核心规范并未明确禁止或限制部署方添加额外安全层，规范的设计聚焦于自身定义的安全机制（如客户端认证的client_secret_basic、client_secret_post等方式），同时预留了扩展空间——只要额外防护不干扰原有协议流程的正常执行，就符合规范的灵活性要求。

不同端点的注意事项 #

• Token端点：该端点本身要求客户端进行身份认证（协议定义了多种认证方式）。若添加额外基础认证，需确保不会与原有客户端认证逻辑冲突。例如要明确区分额外防护的凭据与协议要求的客户端密钥，避免客户端混淆认证步骤。
• Well-known配置端点：此端点的核心作用是支持OIDC自动发现机制，客户端需要先通过它获取提供商配置，才能发起后续认证流程。如果给该端点添加认证，会直接破坏自动发现能力——客户端无法预先获取配置，也就无法知晓正确的认证方式。因此不建议给该端点添加额外认证，除非你的场景是封闭环境，所有客户端已预先知晓配置信息，无需依赖自动发现。

最佳实践建议 #

• 优先选择不影响协议兼容性的防护手段，比如IP白名单、Web应用防火墙（WAF）规则等，这类方式既能增强安全，又不会给客户端带来额外适配成本。
• 若必须添加基础认证这类额外层，需确保所有对接的客户端都能适配该步骤，提前做好沟通和测试，避免出现兼容性故障。

内容的提问来源于stack exchange，提问作者user871611