OpenID、OAuth、OIDC是否仅为规范？与身份认证提供商有什么关系？

1. OpenID、OAuth类协议的定位 #

你的判断是准确的：

• OAuth 2.0、OpenID Connect（常简称OIDC）这类都属于开放技术规范，本身不提供可直接运行的代码实现，仅定义了身份认证、授权流程里的交互规则、报文格式、安全要求等统一标准，和Unicode定义字符编码规则、HTTP定义网络传输规则的定位完全一致。
• 这类规范的核心作用是解决跨系统互操作性：只要对接各方都遵循同一套规范，哪怕是不同厂商开发的产品也能无缝对接，不会出现厂商锁定问题。

2. 身份认证提供商产品的定位 #

你提到的Active Directory、KeyCloak、Ping Identity这类产品，确实是上述规范的落地实现，不过要注意它们的能力范围通常远不止基础规范实现：

• 基础能力层面会完全兼容OAuth 2.0、OIDC、SAML等主流身份相关规范，保证和其他遵循规范的应用/系统正常对接
• 在此之上会额外提供大量开箱即用的产品化功能，比如用户生命周期管理、细粒度权限管控、多因素认证、操作审计日志、企业现有目录系统集成等，这些扩展能力都不属于规范本身的定义范围。
• 额外补充：也存在很多轻量开源库仅实现了规范的核心逻辑，比如各类语言的oauth2开发包，这类库和KeyCloak这类完整身份提供商（IdP）产品的区别是，前者只提供规范实现的基础能力，后者是可直接部署使用的完整身份管理解决方案。

内容的提问来源于stack exchange，提问作者TheAnonymousModeIT