Vergleiche

OAuth 2.0 oder OpenID Connect: Was ist der Unterschied?

OAuth 2.0 dient der Autorisierung, OpenID Connect der Authentifizierung. OIDC ist eine Schicht über OAuth 2.0.

Kurz gesagt

OAuth 2.0 beantwortet „Darf diese Anwendung auf diese Ressource zugreifen?“ und stellt ein Zugriffstoken aus. OpenID Connect beantwortet „Wer ist angemeldet?“ und fügt ein Identitätstoken (ID-Token) und den Scope hinzu: openid.

OAuth 2.0OpenID Connect
FrageWas darf man tun?Wer ist angemeldet?
HaupttokenZugriffstoken (opak oder JWT)ID-Token (signiertes JWT)
Token-EmpfängerL'API (ressource)L'application (client)
Wichtiger ScopeAPI-spezifisch (Lesen, Schreiben …)openid, profile, email
Informationen zur PersonNicht standardisiertClaims standard, endpoint userinfo
Typischer FehlerEin Zugriffstoken zur Identifizierung einer Person verwendennonce, Audience und Signatur nicht geprüft

Das Wichtigste

  • Anmeldung bei einer Anwendung: Verwenden Sie OIDC.
  • Eine API im Namen einer Person aufrufen: Verwenden Sie ein OAuth-2.0-Zugriffstoken.
  • Ein Zugriffstoken belegt keine Identität: Verwenden Sie es nicht, um jemanden anzumelden.
OpenID Connect testenJWT dekodierenSAML oder OIDC?