OIDC
基于OAuth 2.0协议的开放身份认证标准，通过JWT令牌传递用户身份信息，支持无状态分布式验证，广泛用于企业单点登录和API身份认证场景
核心事实
时间轴 (近 90 天)
在 npm 生态中，常见的自动发布做法是通过 OIDC 或发布令牌让流水线自动执行 npm publish，从而减少人工操作带来的失误。
OIDC（OpenID Connect）构建在 OAuth 2.0 之上，使用 JSON 和 JWT，更轻量、更易调试，正逐渐取代 SAML 成为新项目的首选。
WorkOS 的核心价值之一是将支持多种 SSO 协议（SAML、OIDC 等）的复杂性封装成开发者可快速接入的 API。
实现条件访问通常需要身份提供方（IdP）支持SAML/OIDC中的acr、amr等声明扩展，并能向应用传递策略决策结果。
Google 通常要求邮箱验证后才能登录，而某些自建或小众提供商的 OIDC 实现允许用户设置任意未验证邮箱，这种跨提供商的验证策略不一致为攻击者提供了可乘之机。
Codex Cloud 新增 OIDC 支持，方便通过 OIDC 访问云资源
在 PyPI 发布场景下，GitHub Actions 等 CI 环境可通过 OIDC 令牌向 PyPI 证明发布动作来自受信任的代码仓库，而无需存储长期有效的 API Token
OIDC（OpenID Connect）发布机制在此次补丁中保持不变，是现代 CI/CD 流水线中用于无密钥身份验证的标准方案
AWS OIDC联合身份场景中，外部工作负载将从其身份提供商获取的JWT提交给STS的AssumeRoleWithWebIdentity接口以换取临时凭证
不应试图用一种认证方式覆盖所有场景，SigV4、API密钥、OIDC各有适用边界
还有 40 条时间轴事件
全部知识事实 (20)
OpenID Connect是在OAuth 2.0之上构建的身份层，引入了通常为JWT格式的ID Token用于向客户端证明用户身份
75%已验证WorkOS是一家专注于为SaaS应用提供企业级身份认证和用户管理基础设施的技术公司，其产品涵盖SSO（单点登录）、SCIM目录同录、审计日志等企业IT核心能力
65%已验证OAuth 2.0专门处理授权委托，OpenID Connect在OAuth 2.0之上叠加身份验证层，SAML多用于企业联邦身份场景
65%待验证google-github-actions/auth Action 专门负责处理 OIDC 认证流程，而 setup-gcloud 负责配置工具环境，两者分工协作
90%待验证Google 于2021年推出 Workload Identity Federation（工作负载身份联合），允许 GitHub Actions 工作流通过 OIDC 令牌直接换取 GCP 访问凭证
85%待验证SSO的实现通常依赖SAML或OIDC等标准协议，与企业现有的身份提供商如Okta、Azure AD、Google Workspace对接
70%待验证OAuth模式通过引入身份提供方对用户进行身份认证，工具认证后签发访问令牌供智能体使用
60%待验证OAuth 2.0是授权框架,配合OIDC扩展实现身份认证
60%待验证在 npm 生态中，常见的自动发布做法是通过 OIDC 或发布令牌让流水线自动执行 npm publish，从而减少人工操作带来的失误。
50%待验证OIDC（OpenID Connect）构建在 OAuth 2.0 之上，使用 JSON 和 JWT，更轻量、更易调试，正逐渐取代 SAML 成为新项目的首选。
50%待验证WorkOS 的核心价值之一是将支持多种 SSO 协议（SAML、OIDC 等）的复杂性封装成开发者可快速接入的 API。
50%待验证实现条件访问通常需要身份提供方（IdP）支持SAML/OIDC中的acr、amr等声明扩展，并能向应用传递策略决策结果。
50%待验证Google 通常要求邮箱验证后才能登录，而某些自建或小众提供商的 OIDC 实现允许用户设置任意未验证邮箱，这种跨提供商的验证策略不一致为攻击者提供了可乘之机。
50%待验证Codex Cloud 新增 OIDC 支持，方便通过 OIDC 访问云资源
50%待验证OIDC（OpenID Connect）发布机制在此次补丁中保持不变，是现代 CI/CD 流水线中用于无密钥身份验证的标准方案
50%待验证在 PyPI 发布场景下，GitHub Actions 等 CI 环境可通过 OIDC 令牌向 PyPI 证明发布动作来自受信任的代码仓库，而无需存储长期有效的 API Token
50%待验证不应试图用一种认证方式覆盖所有场景，SigV4、API密钥、OIDC各有适用边界
50%待验证对于来自AWS之外的环境（其他云、本地数据中心、第三方系统），推荐使用OIDC联合身份认证
50%待验证AWS OIDC联合身份场景中，外部工作负载将从其身份提供商获取的JWT提交给STS的AssumeRoleWithWebIdentity接口以换取临时凭证
50%待验证Keycloak作为中间层可同时支持接入上游SAML IdP和向下游应用颁发OIDC令牌，使应用侧感知不到SAML的存在
50%