Google OpenID Connect 错误响应是否一致？

Question

我正在使用授权代码流作为依赖方集成到 Google OpenID Connect。如果我在AuthenticationRequest 中发送无效参数，例如scope 的值无效，Google 在网页中显示错误，例如“某些请求的范围无效...”。

OpenID Connect 规范（和 OAuth 规范）明确指出：“除非重定向 URI 无效，否则授权服务器会将客户端返回到授权请求中指定的重定向 URI，并带有适当的错误和状态参数。”

我在请求中做错了什么，还是我误解了规范，或者 Google 只是在发送错误响应时不符合要求？

Answer 1

在我看来，Google 在这里有点不符合标准：

• blog post 的第 10 步显示了基于标准的行为

作为 OIDC 客户端的开发人员，您需要接受一些无效输入将显示在浏览器中：

• client_id / redirect_uri 无效

我倾向于使用无效范围来测试错误响应 - 这很方便 - 我猜你也在这样做。

来自大型云供应商的解决方案经常有这种烦恼 - 当我们作为消费者想要的只是基于标准的解决方案时。