SSO场景下客户端如何信任OIDC身份令牌/OAuth2访问令牌？

一、先理清OIDC和OAuth2的核心差异 #

• OIDC是基于OAuth2搭建的身份认证协议，用JWT身份令牌实现联邦身份认证
• OAuth2是授权协议，用资源访问令牌（可为JWT格式，但非强制）实现联邦资源访问授权

本次讨论不纠结令牌类型，重点关注各类客户端（包括OAuth2定义的客户端、所有能接收同类型数字签名令牌的系统）验证令牌合法性的机制。

二、授权码流程里的简单信任场景 #

以授权码授权流程为例：终端用户被重定向到身份认证服务器，提交凭证成功后回到初始的「签发客户端」。这类客户端能直接信任令牌，原因很明确：

• 令牌通过后端HTTP请求获取
• 请求中携带授权码，以及仅该客户端知晓的客户端密钥，双重验证确保了令牌来源的可靠性

三、SSO场景下的核心问题 #

在单点登录（SSO）场景中，部分客户端未参与初始令牌签发流程，但需要接受其他客户端生成的有效令牌以跳过登录。这就带来核心疑问：这类「非签发客户端」如何在不联系身份认证提供商的情况下，确认令牌未被篡改、来源可信，同时防范伪造服务器生成的伪令牌？

四、本地验证令牌的关键机制 #

要让客户端无需联系提供商就能100%确认令牌合法性，核心在于令牌的数字签名设计和客户端的预先配置：

1. 防篡改校验：通过数字签名算法（如RS256）验证令牌内容——客户端使用身份认证服务器的公钥校验签名，校验通过则说明令牌内容未被篡改。
2. 来源可信校验：令牌的签名由身份认证服务器的专属私钥生成，客户端预先配置并信任该服务器的公钥，通过公钥校验签名，即可确认令牌来自可信服务器，而非伪造来源。

客户端需要提前完成以下配置：

• 预先获取并存储信任的身份认证服务器的公钥
• 验证令牌的iss（签发者）字段是否为预先信任的服务器地址
• 用存储的公钥校验令牌签名的有效性

通过以上步骤，客户端无需实时请求身份认证提供商，即可独立完成令牌合法性验证。

内容的提问来源于stack exchange，提问作者tony _008