🪪

OIDC 身份层

id_token 直验签，跨应用身份零信任

OpenID Connect 在 OAuth 2.1 之上叠加身份层。id_token 为 JWT，包含用户声明，应用本地验签无需回调 UM。scope=openid profile email 即可获得。

example.http

# 请求 id_token（scope 含 openid）
GET /oauth/authorize?
  response_type=code&
  client_id=YOUR_APP_KEY&
  scope=openid%20profile%20email&
  ...

# token 响应含 id_token
{
  "access_token": "eyJ...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "id_token": "eyJ...",     // JWT，含用户声明
  "scope": "openid profile email"
}

# id_token 载荷（JWT decode）
{
  "iss": "https://um.yunjii.cn",
  "sub": "umid_8x4k...",
  "aud": "YOUR_APP_KEY",
  "exp": 1730000000,
  "iat": 1729996400,
  "nickname": "张三",
  "picture": "https://..."
}