客户端使用OIDC隐式授权需自行生成nonce吗？OAuth2Session疑问

首先说下redirect_uri的部分：

• 你提到把redirect_uri加到OAuth2Session后生成的URL里已经包含了它，这完全正确！redirect_uri必须严格使用你在OIDC服务商后台注册过的那个地址，不能随意更改，所以你直接沿用注册好的地址就可以了。两种方式都能让它出现在授权URL里：要么初始化OAuth2Session时传入，要么调用authorization_url时单独指定，比如：

  # 初始化时传入
  oauth_session = OAuth2Session(client_id="your-client-id", redirect_uri="https://your-registered-uri/callback")
  # 或者调用方法时指定
  auth_url, state = oauth_session.authorization_url(
      "https://oidc-provider.com/authorize",
      redirect_uri="https://your-registered-uri/callback"
  )
  

然后是nonce的问题，这也是你疑惑的核心：

• Authlib的OAuth2Session是通用的OAuth2实现，而nonce是OIDC特有的参数，所以它确实不会自动帮你生成nonce——你需要自己来生成！不用搞复杂的JWT，只要生成一个足够随机的字符串就行，比如用Python的uuid模块生成UUID：

  import uuid
  nonce = str(uuid.uuid4())
  

• 生成后，你需要把这个nonce存起来（比如存在用户会话、Cookie里），因为后续回调拿到ID Token时，要验证Token里的nonce和你生成的是否一致，防止重放攻击。
• 最后在调用authorization_url时，把nonce作为参数传进去就行，别忘了隐式授权模式要指定正确的response_type（必须包含id_token）：

  # 先把nonce存到会话里（以Flask为例）
  from flask import session
  session['oidc_nonce'] = nonce
  
  # 生成授权URL
  auth_url, state = oauth_session.authorization_url(
      "https://oidc-provider.com/authorize",
      nonce=nonce,
      response_type="id_token token"  # 隐式授权的响应类型，必须包含id_token
  )
  

• 后续验证ID Token的时候，你可以用Authlib提供的OIDC工具类（比如authlib.oidc.core.CodeIDToken）来解析和验证，里面已经内置了nonce的校验逻辑，只要传入你之前存的nonce就行。

总结一下：

• redirect_uri用你注册好的地址，通过OAuth2Session传入即可自动包含在授权URL中；
• nonce需要自行生成随机字符串，传入authorization_url并保存，后续用于ID Token验证。

内容的提问来源于stack exchange，提问作者TimeBigot