[69] OpenID Connect Core 1.0：把登录做成可互操作的协议

• 原始来源：https://openid.net/specs/openid-connect-core-1_0.html
• 对应章节：第 11 章（用户模块）

一句话摘要

OIDC 是建立在 OAuth 2.0 之上的认证层：它给出了身份是谁的标准答案（ID Token + Claims），让你不必把登录流程写成一堆不可审计的定制逻辑。

产品视角：为什么它重要

• 减少自研登录的隐性风险：一旦你要做团队协作、企业客户或跨端登录，边界与兼容会迅速复杂化。
• 让账号体系可迁移：今天你用邮箱登录，明天接企业 SSO，你希望用户是谁不变、审计口径不变、权限模型不崩。
• 把安全决策变得可解释：登录失败不是神秘错误，而是可定位的流程与错误语义（对用户也更可恢复）。

工程落地要点（可执行）

• 统一身份主键：把用户唯一标识固定下来（不要用邮箱当主键），避免后续迁移爆炸。
• 事件化审计：登录/登出/刷新/失败原因都要落审计，尤其是风险场景（异常地区、设备变化等）。
• 权限与会话分层：会话存在不等于有权访问；AuthN 与 AuthZ 的边界要清晰。

常见误用提醒

• 把接入第三方登录当成小功能：它会影响你的账户合并、审计、风控与计费归属。
• 只关注成功路径：用户最痛的往往是失败与恢复（过期、撤销、跳转丢失、重复邀请等）。