具有OpenId的Oauth2连接

Question

我今天要问你，因为我处于死胡同。 我错过了Oauth2和OpenID在apigee中连接的逻辑。

我了解到，应用程序请求Openid连接后具有登录用户的个人资料，并且OAuth2为应用程序提供了一种通过访问令牌访问受保护资源的方法。

现在，我们采取一种方案，其中受保护的资源需要验证已登录用户是否是获得授权令牌的本人，我在此处所做的图示是否不错，还是使事情变得复杂了？

Answer 1

根据我的理解，您错过的是自省端点 。

该端点是为资源服务器设计的。 它允许他们获取有关客户端使用的访问令牌的详细信息。 如果访问令牌是活动的，您将收到有关它，尤其是索赔sub声称代表资源拥有者（即在您的使用案例的用户）。