实现多资源服务器OIDC服务端时如何通过clientId识别对应资源服务器

符合RFC规范的标准解决方案 #

现有OIDC和OAuth2协议体系已经提供了原生的多资源服务器支持能力，无需通过拆分clientId实现需求：

• 使用RFC 8707定义的resource参数
  客户端发起授权请求时，携带目标资源服务器的唯一标识（通常是资源服务器的服务URI）作为resource参数的值传入授权端点。你可以在OIDC服务端提前配置每个客户端允许访问的资源服务器白名单，收到请求后先校验该clientId是否有权限访问传入的目标资源，校验通过后，签发的ID Token和Access Token会将资源标识写入aud（受众）声明，资源服务器收到Token后只需校验aud是否匹配自身标识即可。
• 使用Scope字段做资源标识
  给每个资源服务器分配独有的Scope值，比如资源服务器X对应access:x，资源服务器Y对应access:y。客户端发起授权请求时携带对应资源的Scope，OIDC服务端通过Scope即可识别目标资源服务器，同时Scope会写入Token的声明中，可用于资源侧的权限校验。

单客户端多clientId绑定方案的合理性评估 #

你提到的为客户端和资源服务器的每一组绑定关系分配唯一clientId的方案可正常运行，但有明确的适用边界：

• 优势：实现逻辑简单，无需对授权端点做参数扩展适配，不同绑定关系的clientId天然隔离，权限管控粒度更细。
• 劣势：客户端侧维护成本极高，同个应用需要维护多套clientId、密钥以及授权配置；无法支持单客户端同时访问多个资源服务器的场景，当资源服务器数量增长后，clientId的管理成本会指数级上升，不符合OIDC协议的设计理念。

选型建议 #

如果你的业务场景满足「客户端永远仅需访问单个资源服务器、资源服务器总量少、客户端数量可控」三个条件，可以采用多clientId绑定的方案。其余场景优先选择resource参数的标准方案，适配性更强，后续扩展更灵活。

内容的提问来源于stack exchange，提问作者Jack