使用OAuth的Google/FB/Twitter社交登录是authentication还是authorization？

首先先明确两个核心概念的准确含义，你之前的总结存在部分窄化：

• Authentication（认证）：核心是验证「操作者是谁」，校验账号密码只是认证的实现方式之一，身份提供商（IdP）验证身份后下发合法身份断言、生物识别校验等都属于认证范畴，和是否用SSO没有强制绑定关系。
• Authorization（授权）：核心是验证「操作者有权限做什么」，OAuth 2.0的设计目标就是解决这个场景：在用户不向第三方应用泄露自身账号密码的前提下，给第三方应用发放有限权限的访问令牌，用于获取指定资源。

你查阅的资料里说「OAuth 2.0是授权框架，不是认证协议」指的是原生的、没有扩展的OAuth 2.0，它的流程设计里只解决授权问题，没有给第三方应用提供标准化的、可校验的身份断言：
OAuth 2.0流程下发的Access Token本质是「访问资源的凭证」，本身不携带用户身份信息，也没有和当前发起请求的第三方应用做绑定，第三方应用拿到Access Token后只能用它去拉取用户资源，没法直接证明「当前在自己站点发起操作的用户，就是这个Access Token对应的资源所有者」，直接用纯OAuth 2.0做登录会存在伪造身份的安全漏洞。

你接触到的Google、Facebook、Twitter的社交登录，都不是用纯OAuth 2.0实现的，而是在OAuth 2.0的基础上叠加了*OpenID Connect（简称OIDC）*认证层，这是专门基于OAuth 2.0扩展出来的标准化认证协议。
OIDC流程除了返回OAuth 2.0的Access Token之外，还会额外返回一个ID Token：这是一个经过身份提供商私钥签名的JWT凭证，里面明确包含了用户唯一ID、身份提供商标识、Token受众（指定只能被哪个第三方应用使用）、有效期等核心身份信息。
第三方应用只需要用身份提供商的公钥验证ID Token的签名合法、字段符合预期，就能直接确认当前用户的身份是真实有效的，不需要自行完成额外的身份认证。

对应你提到的「monkey应用接入社交登录」的场景：

• 只要用的是Google、Facebook官方提供的标准社交登录能力，拿到的返回结果都会包含合法的ID Token，monkey应用校验ID Token合法后就能直接确认你是对应社交账号的持有者，直接完成注册/登录流程，不需要自己做额外的身份校验。
• 如果monkey应用真的仅用了纯OAuth 2.0流程、没有接入OIDC，才需要自己做额外的身份绑定逻辑，但这种实现是不符合规范的，存在安全风险。

纯原生的OAuth 2.0本身不适合直接用于实现身份认证，但是基于OAuth 2.0扩展的OIDC协议是标准的认证协议，现在市面上绝大多数的社交登录、跨应用SSO方案都是基于OIDC+OAuth 2.0的组合实现的。

内容的提问来源于stack exchange，提问作者nullr4pt0r