16 - OpenID (4) - OIDC Implicit Flow

Step 2

由 Client 將使用者導向 OpenID provider，其 url params 如下

GET /authorize?response_type=id_token
&client_id=xxx
&nonce=xxx
&state=xxx
&scope=xxx
&redirect_uri=xxx
&resource=xxx

• response_type: 這裡的值如果為 "id_token"，代表 step 5 只將 ID token 回傳；若值為 "id_token token"，則代表會將 ID token 和 access token 回傳
• client_id: 在 OpenID provider 所登記的 Client 的 ID
• nonce: 一個隨機值，之後會被放在 ID token 當中回傳給 Client
• state: 當中包含了 Client 當前的狀態資訊，之後會用來比對 OpenID provider response 當中的 state 以確保前後一致
• scope: 代表這個請求所想要取得的使用者資訊，譬如 "openid profile email"
• redirect_uri: 在 step 5 OpenID provider 將使用者導回到 Client 時的 url

Step 5

在使用者輸入帳號密碼，驗證身份完畢之後 (step 3 & 4)，OpenID provider 會將使用者導回到 Client，並將 id token（或 id token + access token） 放在 url 當中

https://client_redirect_uri/callback?access_token=xxx&id_token=xxx