OpenID Connect
基于OAuth 2.0构建的身份认证层协议，引入ID Token（JWT格式）用于向客户端证明用户身份，广泛用于单点登录和联合身份认证场景。
核心事实
时间轴 (近 90 天)
在 OIDC 中，email 只是提供商声明的、可能未经核实的属性，email_verified 才表示提供商已确认该邮箱归当前用户控制，而 sub 或 provider_user_id 才是稳定且难以伪造的身份标识。
OIDC是基于OAuth 2.0的身份验证协议，在CI/CD中可申请有效期通常15分钟至1小时的临时凭证，该凭证与特定仓库、分支、工作流绑定，用完即失效，AWS和GitHub均推荐作为生产级凭证管理方式
JalOS的GitHub Actions工作流通过OpenID Connect（OIDC）获取短时效的AWS临时凭证，而非存储长期有效的访问密钥
OAuth 2.0与OpenID Connect（OIDC）基于JSON和JWT，协议表面积更小，签名与数据的绑定关系更清晰，攻击面比SAML更小
白皮书主张在OAuth 2.0、OpenID Connect等成熟协议基础上进行扩展以适配智能体场景，而非推翻现有标准
身份联合领域经历了SAML、OpenID、WS-Federation的竞争，最终OpenID Connect在消费互联网场景胜出，SAML在企业场景延续
业界近年来越来越倾向于采用基于 JSON 的 OAuth 2.0 与 OpenID Connect（OIDC）作为身份认证与授权方案
OIDC 等标准协议并未对多租户场景做强制规范，各平台实现差异较大
OAuth和OpenID Connect都假设MCP客户端已经在服务器或授权服务器上注册过
OpenID Connect是在OAuth 2.0之上构建的身份层，引入了通常为JWT格式的ID Token用于向客户端证明用户身份
还有 17 条时间轴事件
全部知识事实 (20)
JWT（JSON Web Token）是一种开放标准（RFC 7519）
80%已验证OpenID Connect是在OAuth 2.0之上构建的身份层，引入了通常为JWT格式的ID Token用于向客户端证明用户身份
75%已验证OAuth 2.0专门处理授权委托，OpenID Connect在OAuth 2.0之上叠加身份验证层，SAML多用于企业联邦身份场景
65%待验证常见的 SSO 实现协议包括 SAML 2.0、OAuth 2.0 和 OpenID Connect（OIDC）
60%待验证在 OIDC 中，email 只是提供商声明的、可能未经核实的属性，email_verified 才表示提供商已确认该邮箱归当前用户控制，而 sub 或 provider_user_id 才是稳定且难以伪造的身份标识。
50%待验证OIDC是基于OAuth 2.0的身份验证协议，在CI/CD中可申请有效期通常15分钟至1小时的临时凭证，该凭证与特定仓库、分支、工作流绑定，用完即失效，AWS和GitHub均推荐作为生产级凭证管理方式
50%待验证JalOS的GitHub Actions工作流通过OpenID Connect（OIDC）获取短时效的AWS临时凭证，而非存储长期有效的访问密钥
50%待验证OAuth 2.0与OpenID Connect（OIDC）基于JSON和JWT，协议表面积更小，签名与数据的绑定关系更清晰，攻击面比SAML更小
50%待验证白皮书主张在OAuth 2.0、OpenID Connect等成熟协议基础上进行扩展以适配智能体场景，而非推翻现有标准
50%待验证身份联合领域经历了SAML、OpenID、WS-Federation的竞争，最终OpenID Connect在消费互联网场景胜出，SAML在企业场景延续
50%待验证业界近年来越来越倾向于采用基于 JSON 的 OAuth 2.0 与 OpenID Connect（OIDC）作为身份认证与授权方案
50%待验证OIDC 等标准协议并未对多租户场景做强制规范，各平台实现差异较大
50%待验证OAuth和OpenID Connect都假设MCP客户端已经在服务器或授权服务器上注册过
50%待验证Sigstore是由Linux基金会支持的开源项目，旨在为软件包提供基于OpenID Connect的无密钥签名机制
50%待验证采用配置驱动设计可使添加新身份提供商时无需修改核心代码，配置文件应包含endpoint URL、签名算法、必需scope、字段映射规则等
50%待验证多提供商场景下应为每个身份提供商建立独立集成测试用例，覆盖token刷新、会话过期、网络超时等边界情况
50%待验证身份提供商的差异化实现短期内难以消除，反映了技术生态演化和厂商商业策略考量
50%待验证尽管各家身份提供商都声称遵循OIDC规范，但在实际实现中存在显著差异
50%待验证OIDC规范在某些细节上留有解释空间，不同提供商基于各自技术架构和安全考量进行差异化解读
50%待验证不同提供商对access token和refresh token的生命周期管理策略各不相同，有的使用短期token配合自动刷新，有的倾向长期token
50%