OpenId是否支持规范中任何地方的双向令牌交换？特别是允许双方以某种方式相互共享令牌，以便彼此共享服务？
我looked through the spec，但无法看到任何详细说明此类情况的内容。
我正在处理的应用已与可信赖的OpenId提供商集成，我们将致电Acme。
我们还希望为Acme提供访问令牌和刷新令牌，因为他们也希望访问我们服务的功能。
在我们的交互过程中，从Acme获取令牌似乎很自然，我们希望将令牌暴露给他们。
这是规范的一部分吗？或者，唯一的方法是成为一个完整的身份提供者？
答案 0 :(得分：1)
您可以将令牌作为请求对象的一部分包含在内，请参阅：http://openid.net/specs/openid-connect-core-1_0.html#RequestObject但这取决于与Acme的成对协议，因为他们需要处理非标准化的请求对象内容。 / p>
最好的方法是自己成为提供商，这样您就可以利用各种流程的所有功能，而不依赖于成对协议和相应的实施。
答案 1 :(得分：1)
听起来你在某种程度上混淆了OpenID Connect和普通的OAuth2。
OpenID Connect是一种用于根据客户端应用程序在OpenID提供程序上的身份验证来识别客户端应用程序最终用户的规范。从您的问题中不清楚最终用户是否是图片的一部分，因此即使简单的OAuth2也可能不相关（除非您只是使用“客户凭证”授权）。
这两个规范都没有说明相互交换令牌的事情。如果您更详细地描述您预期的交互以及您希望使用哪些授权，这可能会有所帮助。谁将对您的身份提供商进行身份验证以及典型的客户端应用程序是什么？