从OpenID 2.0迁移到OAuth 2.0登录（OpenID Connect）

Question

我们正在尝试从OpenID 2.0迁移到OAuth 2.0登录（OpenID Connect）

我们将继续进行Google文档OpenID 2.0（迁移）

我们的问题是，在ID令牌请求中未返回 openid_id 。

第一个身份验证请求：

https://accounts.google.com/o/oauth2/auth?client_id=xxxxxxxxxxxxxxx.apps.googleusercontent.com&response_type=code&scope=openid+email&redirect_uri=http://domain.local/customer/auth-callback&openid.realm=http://domain.local/customer&state=secrettoken

当用户被重定向回时，我们得到以下参数：

'state' => 'secrettoken',
'code' => 'codeforexchange',
'authuser' => '0',
'num_sessions' => '1',
'session_state' => 'absasd951d57fcc1148f59b6b455ec86045a731c..1de3',
'prompt' => 'none',

然后，我们在https://accounts.google.com/o/oauth2/token上交换令牌，并收到以下消息：

'access_token' => 'accesstoken',
'token_type' => 'Bearer',
'expires_in' => 3594,
'id_token' => 'idtoken'

当我们尝试在https://www.googleapis.com/oauth2/v1/tokeninfo上解析令牌信息时，如文档中所述， openid_id或sum都不存在-步骤3：将OpenID 2.0标识符映射到OpenID Connect标识符

响应只是（ID令牌）：

 "issuer": "accounts.google.com",
 "issued_to": "xxxxxxxxx-xxxxxxx.apps.googleusercontent.com",
 "audience": "xxxxxxxxx-xxxxxxx.apps.googleusercontent.com",
 "user_id": "user_id",
 "expires_in": 3594,
 "issued_at": 1404741485,
 "email": "someone@google.com",
 "email_verified": true

有人知道为什么吗？

注意：此“ domain.local”以前曾用于通过OpenId 2.0登录，所以我希望应返回openid_id（以便将用户标识符从openid 2.0迁移到OpenidConnect）

有类似的问题很不幸不能解决我的问题。

Answer 1

获取id_token后，您必须对其进行解码以找到openid_id。 无论编码的请求数据中是否包含openid_id， https：//www.googleapis.com/oauth2/v1/tokeninfo均不会返回openid_id。 为了进行验证，您可以在此处解码id_token； https://developers.google.com/wallet/digital/docs/jwtdecoder

Answer 2

据此，子包含在ID令牌中。 我假设openid_id也在那里。

ID令牌是一种安全令牌，其中包含有关使用客户端时授权服务器对最终用户的身份验证的声明以及可能的其他请求的声明。 ID令牌表示为JSON Web令牌（JWT）[JWT]。