OpenID Connect
基于OAuth 2.0构建的身份认证层协议，引入ID Token（JWT格式）用于向客户端证明用户身份，广泛用于单点登录和联合身份认证场景。
核心事实
时间轴 (近 90 天)
传统身份提供商（IdP）面向人类用户设计，依赖账号密码、多因素认证等机制，常见标准包括SAML、OAuth 2.0和OpenID Connect。
SSO在协议层面通常依赖SAML 2.0、OpenID Connect（OIDC）或CAS等标准。
身份提供商（IdP）注册通常基于OAuth 2.0或OpenID Connect协议，由AWS作为服务提供方信任这些身份源。
EMA 之所以能把授权收敛到 IdP，前提是企业已经用 IdP 统一了员工身份；应用接入 IdP 后，用户登录走 SAML 或 OpenID Connect 标准，由 IdP 颁发身份断言。
在 OIDC 中，email 只是提供商声明的、可能未经核实的属性，email_verified 才表示提供商已确认该邮箱归当前用户控制，而 sub 或 provider_user_id 才是稳定且难以伪造的身份标识。
JalOS的GitHub Actions工作流通过OpenID Connect（OIDC）获取短时效的AWS临时凭证，而非存储长期有效的访问密钥
OIDC是基于OAuth 2.0的身份验证协议，在CI/CD中可申请有效期通常15分钟至1小时的临时凭证，该凭证与特定仓库、分支、工作流绑定，用完即失效，AWS和GitHub均推荐作为生产级凭证管理方式
OAuth 2.0与OpenID Connect（OIDC）基于JSON和JWT，协议表面积更小，签名与数据的绑定关系更清晰，攻击面比SAML更小
白皮书主张在OAuth 2.0、OpenID Connect等成熟协议基础上进行扩展以适配智能体场景，而非推翻现有标准
身份联合领域经历了SAML、OpenID、WS-Federation的竞争，最终OpenID Connect在消费互联网场景胜出，SAML在企业场景延续
还有 20 条时间轴事件
全部知识事实 (20)
JWT（JSON Web Token）是一种开放标准（RFC 7519）
80%已验证OpenID Connect是在OAuth 2.0之上构建的身份层，引入了通常为JWT格式的ID Token用于向客户端证明用户身份
75%已验证常见的 SSO 实现协议包括 SAML 2.0、OAuth 2.0 和 OpenID Connect（OIDC）
65%已验证OAuth 2.0专门处理授权委托，OpenID Connect在OAuth 2.0之上叠加身份验证层，SAML多用于企业联邦身份场景
65%待验证传统身份提供商（IdP）面向人类用户设计，依赖账号密码、多因素认证等机制，常见标准包括SAML、OAuth 2.0和OpenID Connect。
50%待验证SSO在协议层面通常依赖SAML 2.0、OpenID Connect（OIDC）或CAS等标准。
50%待验证身份提供商（IdP）注册通常基于OAuth 2.0或OpenID Connect协议，由AWS作为服务提供方信任这些身份源。
50%待验证EMA 之所以能把授权收敛到 IdP，前提是企业已经用 IdP 统一了员工身份；应用接入 IdP 后，用户登录走 SAML 或 OpenID Connect 标准，由 IdP 颁发身份断言。
50%待验证在 OIDC 中，email 只是提供商声明的、可能未经核实的属性，email_verified 才表示提供商已确认该邮箱归当前用户控制，而 sub 或 provider_user_id 才是稳定且难以伪造的身份标识。
50%待验证OIDC是基于OAuth 2.0的身份验证协议，在CI/CD中可申请有效期通常15分钟至1小时的临时凭证，该凭证与特定仓库、分支、工作流绑定，用完即失效，AWS和GitHub均推荐作为生产级凭证管理方式
50%待验证JalOS的GitHub Actions工作流通过OpenID Connect（OIDC）获取短时效的AWS临时凭证，而非存储长期有效的访问密钥
50%待验证OAuth 2.0与OpenID Connect（OIDC）基于JSON和JWT，协议表面积更小，签名与数据的绑定关系更清晰，攻击面比SAML更小
50%待验证白皮书主张在OAuth 2.0、OpenID Connect等成熟协议基础上进行扩展以适配智能体场景，而非推翻现有标准
50%待验证身份联合领域经历了SAML、OpenID、WS-Federation的竞争，最终OpenID Connect在消费互联网场景胜出，SAML在企业场景延续
50%待验证业界近年来越来越倾向于采用基于 JSON 的 OAuth 2.0 与 OpenID Connect（OIDC）作为身份认证与授权方案
50%待验证OIDC 等标准协议并未对多租户场景做强制规范，各平台实现差异较大
50%待验证OAuth和OpenID Connect都假设MCP客户端已经在服务器或授权服务器上注册过
50%待验证Sigstore是由Linux基金会支持的开源项目，旨在为软件包提供基于OpenID Connect的无密钥签名机制
50%待验证尽管各家身份提供商都声称遵循OIDC规范，但在实际实现中存在显著差异
50%待验证OIDC规范在某些细节上留有解释空间，不同提供商基于各自技术架构和安全考量进行差异化解读
50%