| 产物 | ID Token 与 Access Token，ID Token 描述认证事件 |
|---|---|
| 发现 | /.well-known/openid-configuration 提供端点元数据 |
| 校验 | 签名、issuer、audience、nonce 与过期时间 |
Access Token 不等于身份：业务鉴权应基于授权范围与资源判断，而非把令牌当用户档案。
OpenID Connect
构建在 OAuth 2.0 之上的认证层：用 ID Token（JWT）传递认证结果，标准化发现文档与用户信息端点；适合单点登录与第三方登录场景。
易错点
- 只校验签名不校验 audience/issuer，令牌可被挪用
- 把 ID Token 当 API 调用凭证，混淆认证与授权
数据来源与参考
- OpenID Connect Core 1.0 规范
- RFC 8414：Authorization Server Metadata