OIDC、OAuth 2.0 与 Okta（企业身份认证）
定义
OAuth 2.0 是委托授权的标准协议；OpenID Connect（OIDC）是其上的身份层，增加了认证能力——用签名的 ID Token 描述用户身份。Okta（以及微软 Entra ID）是实现这些标准的主流企业身份提供商（IdP），为公司所有应用提供单点登录（SSO）、多因素认证和用户生命周期管理。
为什么对 AI 求职重要
每个企业级订单的第一个问题都是“支持和我们 IdP 的 SSO 吗？”——AI 产品也不例外。B2B AI 产品的工程师日常就是集成 OIDC 登录、在 API 中校验 JWT、把 IdP 组映射到应用角色、用 SCIM 实现自动开通/停用账号。JD 里写“Okta/OIDC”的岗位，要的是能端到端负责这条链路、并了解其安全陷阱的工程师。
核心概念
- OAuth 角色——资源所有者、客户端、授权服务器、资源服务器。
- 授权码流程 + PKCE——当今 Web 与原生应用的正确选择。
- ID Token / Access Token / Refresh Token——各自的用途、受众与生命周期。
- JWT 校验——签名（JWKS）、issuer、audience、过期时间；常见错误。
- SSO 与联合认证——对接 Okta/Entra 的 OIDC 与 SAML；JIT 用户创建。
- SCIM——用户与组的自动开通/停用同步协议。
- 授权模型——RBAC 与 ABAC；把 IdP 组/claims 映射为应用角色。
学习路径
- 注册免费 Okta 开发者账号，不用 SDK、手写 OIDC 登录接入一个小应用，弄懂跳转与令牌。
- 用 Okta 的 JWKS 端点做 JWT 校验，保护一个 FastAPI 或 Node API。
- 基于 token claims/组实现角色授权；测试篡改与过期场景。
- 实现一个最小 SCIM 端点，或用 Okta 的 SCIM 测试工具理解用户同步。
- 读 OAuth 2.0 安全最佳实践（BCP），能讲清主要攻击方式（令牌泄露、CSRF、mix-up）。