OIDC
基于OAuth 2.0协议的开放身份认证标准，通过JWT令牌传递用户身份信息，支持无状态分布式验证，广泛用于企业单点登录和API身份认证场景
核心事实
时间轴 (近 90 天)
SAML 和 OIDC 均支持单点登出流程，但实现方式各异。
在开发终端场景中，改用短期令牌（如OIDC联合身份、临时STS凭证）并配合细粒度IAM策略，可以显著缩小凭证泄露后的影响范围。
Agent Gateway 的典型能力包括：基于 OAuth/OIDC 的身份代理与令牌交换、工具白名单与按 workflow 的动态裁剪、请求级审计日志、速率限制与成本计量，以及在请求到达生产系统前的拦截与脱敏。
npm 生态另有 provenance 机制，可将发布产物与其源码仓库、构建流水线绑定并生成可公开核查的证明。
Claude Code v2.1.312 在 Claude apps 网关中新增了 oidc.user_id_claim 配置项，允许企业通过 id_token 中的声明来识别用户身份，而不再局限于默认的 sub 字段。
对接微软登录时，注册应用后需配置重定向URI、选择授权码模式（Authorization Code Flow），并在服务端校验ID Token的签名与签发者。
Vercel 宣布将推动 OIDC（OpenID Connect）成为其平台及 Marketplace 集成中的默认认证方式，并给不支持安全认证的供应商设定了明确的淘汰时间表。
在机器对机器的场景中，OIDC 常与“工作负载身份”概念结合，由平台作为签发方为工作负载提供短期令牌，以替代传统的 API 密钥模式。
OIDC 令牌由受信任的签发方使用私钥签名，接收方通过签发方公开的 JWKS 端点获取公钥进行验签，无需与签发方实时通信。
到 2026 年 11 月 30 日，不支持从 Vercel 到其服务的 OIDC 认证、仍使用长期密钥进行认证的供应商，将在其 Marketplace 列表中看到“不安全”提示。
还有 40 条时间轴事件
全部知识事实 (20)
OpenID Connect是在OAuth 2.0之上构建的身份层，引入了通常为JWT格式的ID Token用于向客户端证明用户身份
75%已验证OAuth模式通过引入身份提供方对用户进行身份认证，工具认证后签发访问令牌供智能体使用
65%已验证OAuth 2.0是授权框架,配合OIDC扩展实现身份认证
65%已验证WorkOS是一家专注于为SaaS应用提供企业级身份认证和用户管理基础设施的技术公司，其产品涵盖SSO（单点登录）、SCIM目录同录、审计日志等企业IT核心能力
65%已验证OAuth 2.0专门处理授权委托，OpenID Connect在OAuth 2.0之上叠加身份验证层，SAML多用于企业联邦身份场景
65%已验证OAuth 2.0 只解决授权问题，而 OIDC 在此基础上增加了标准化的身份认证层，引入了通常为 JWT 格式的 ID Token 来携带用户身份信息
65%待验证google-github-actions/auth Action 专门负责处理 OIDC 认证流程，而 setup-gcloud 负责配置工具环境，两者分工协作
90%待验证Google 于2021年推出 Workload Identity Federation（工作负载身份联合），允许 GitHub Actions 工作流通过 OIDC 令牌直接换取 GCP 访问凭证
85%待验证SSO的实现通常依赖SAML或OIDC等标准协议，与企业现有的身份提供商如Okta、Azure AD、Google Workspace对接
70%待验证SAML 和 OIDC 均支持单点登出流程，但实现方式各异。
50%待验证在开发终端场景中，改用短期令牌（如OIDC联合身份、临时STS凭证）并配合细粒度IAM策略，可以显著缩小凭证泄露后的影响范围。
50%待验证Agent Gateway 的典型能力包括：基于 OAuth/OIDC 的身份代理与令牌交换、工具白名单与按 workflow 的动态裁剪、请求级审计日志、速率限制与成本计量，以及在请求到达生产系统前的拦截与脱敏。
50%待验证npm 生态另有 provenance 机制，可将发布产物与其源码仓库、构建流水线绑定并生成可公开核查的证明。
50%待验证Claude Code v2.1.312 在 Claude apps 网关中新增了 oidc.user_id_claim 配置项，允许企业通过 id_token 中的声明来识别用户身份，而不再局限于默认的 sub 字段。
50%待验证对接微软登录时，注册应用后需配置重定向URI、选择授权码模式（Authorization Code Flow），并在服务端校验ID Token的签名与签发者。
50%待验证在机器对机器的场景中，OIDC 常与“工作负载身份”概念结合，由平台作为签发方为工作负载提供短期令牌，以替代传统的 API 密钥模式。
50%待验证OIDC 令牌由受信任的签发方使用私钥签名，接收方通过签发方公开的 JWKS 端点获取公钥进行验签，无需与签发方实时通信。
50%待验证到 2026 年 11 月 30 日，不支持从 Vercel 到其服务的 OIDC 认证、仍使用长期密钥进行认证的供应商，将在其 Marketplace 列表中看到“不安全”提示。
50%待验证SCIM 通常与 SAML/OIDC 搭配使用：后者负责认证，前者负责供给（provisioning）。
50%待验证在 SSO 流程中，IdP 向应用发送的认证断言通常以 SAML 断言或 OIDC 的 ID Token 形式承载。
50%