OIDC协议下Google第三方登录时StackOverflow识别用户认证状态的原理疑问

你之前梳理的流程遗漏了OIDC授权码流最核心的凭证交换环节，整个认证逻辑和Google下发的、仅归属google.com域名的SID Cookie完全无关，具体逻辑如下：

• 你点击「使用Google登录」按钮时，StackOverFlow跳转到Google授权端点https://accounts.google.com/o/oauth2/auth的同时，会在请求参数里携带自身在Google开放平台注册的合法客户端ID、预先和Google约定的回调地址、请求的OIDC权限范围（通常包含openid、email、profile），以及随机生成的防篡改state参数。
• 你在Google侧完成账号登录、给StackOverFlow授权后，Google不会直接空跳转回StackOverFlow，而是会在回调地址的查询参数中携带**一次性授权码（code）**以及之前StackOverFlow传入的state参数。
• StackOverFlow后端拿到授权码后，会在服务端直接发起请求到Google的令牌接口，请求时携带只有StackOverFlow和Google知晓的客户端密钥，用一次性授权码交换得到ID Token、Access Token两类核心凭证。
• ID Token是由Google私钥签名的JWT格式凭证，内部包含了你的用户唯一标识、邮箱、头像等公开身份信息，StackOverFlow只需要用Google公开的公钥对ID Token做验签，确认签名合法、凭证受众确实是StackOverFlow的客户端ID，就能确认你已经在Google侧完成了有效认证，后续直接给你创建账号或者完成登录即可。

全程Google的SID Cookie仅用于google.com域名下识别你的登录状态，受浏览器同源策略限制，StackOverFlow完全无法访问，也不需要访问，所有身份校验都是通过OIDC协议约定的、服务端之间直接交互的凭证完成的。

内容的提问来源于stack exchange，提问作者Ugo Evola