Spring OpenID Connect中隐式模式的用途是什么？

首先得明确一个关键区别：你当前配置的authorizationGrantType=implicit其实是OAuth 2.0原生的隐式流，而不是OpenID Connect（OIDC）规范定义的隐式流——这就是为什么你只拿到access_token的核心原因。

为什么会有这个差异？ #

Spring Security的OAuth 2.0与OIDC支持是分层设计的：

• 底层的implicit授权类型对应OAuth 2.0 RFC 6749里的原生隐式流，响应类型默认是token，只返回access_token，完全符合OAuth 2.0规范。
• OIDC的隐式流是OAuth 2.0隐式流的扩展，它要求使用id_token或id_token token作为响应类型，这样才能同时拿到身份令牌（id_token）和访问令牌（access_token），这才是OIDC规范定义的隐式场景。

Spring中纯OAuth 2.0隐式流的用途 #

1. 兼容遗留系统：有些老的OAuth 2.0服务端只实现了原生隐式流，不支持OIDC的扩展响应类型，Spring保留这个配置就是为了适配这类无法升级的遗留场景。
2. 无身份需求的轻量场景：如果你的应用（比如某些单页应用）只需要获取access_token访问资源，不需要用户身份信息（id_token），原生隐式流可以快速满足需求——不过要注意，现在业界更推荐用授权码流+PKCE替代它，因为隐式流的令牌会暴露在URL中，存在被窃取的安全风险。
3. 架构迁移过渡：在从纯OAuth 2.0架构迁移到OIDC架构的过程中，这个配置可以让原有客户端保持正常运行，不用一次性完成全量升级，降低迁移风险。

如何配置符合OIDC规范的隐式流？ #

如果你想要使用OIDC定义的隐式流，只需要在Spring客户端配置中额外指定响应类型即可：

spring:
  security:
    oauth2:
      client:
        registration:
          your-client-id:
            authorization-grant-type: implicit
            response-types: id_token token
            # 其他配置（客户端ID、授权地址等）...

这样配置后，授权请求会使用response_type=id_token token，你就能同时拿到id_token和access_token，完全符合OIDC的隐式流定义。

最后提一句最佳实践 #

现在OIDC官方已经不推荐使用隐式流了，因为令牌暴露在URL中的安全隐患不可忽视。对于SPA、移动应用这类无法安全存储客户端密钥的场景，授权码流+PKCE是更安全的主流选择，Spring也提供了完善的支持。

内容的提问来源于stack exchange，提问作者Fabrice