2.4. 在 OpenID Connect、smallRye JWT 和 OAuth2 身份验证机制之间进行选择

身份验证机制用例列表

• quarkus-oidc 需要 OpenID Connect 供应商，如 Keycloak，它可以验证 bearer 令牌或使用授权代码流验证最终用户。在这两种情况下，quarkus-oidc 需要连接到指定的 OpenID Connect 供应商。
• 如果用户身份验证需要授权代码流，或者您需要支持多个租户，请使用 quarkus-oidc。quarkus-oidc 还可以使用授权代码流和 Bearer 访问令牌来请求用户信息。
• 如果必须验证 bearer 令牌，请使用 quarkus-oidc 或 quarkus-smallrye-jwt。
• 如果您的 bearer 令牌采用 JSON Web 令牌(JWT)格式，您可以使用上述列表中的任何扩展。quarkus-oidc 和 quarkus-smallrye-jwt 支持刷新 OpenID Connect 提供程序轮转密钥时设置的 JsonWebKey (JWK)。因此，如果必须避免远程令牌内省，或者提供程序不支持的远程令牌，请使用 quarkus-oidc 或 quarkus-smallrye-jwt 来验证 JWT 令牌。
• 要远程内省 JWT 令牌，您可以使用 quarkus-oidc 使用远程内省来验证不透明或二进制令牌。quarkus-smallrye-jwt 不支持对不透明或 JWT 令牌的远程内省，而是依赖于通常从 OpenID Connect 提供程序检索的本地可用密钥。
• quarkus-oidc 和 quarkus-smallrye-jwt 支持 JWT 和不透明令牌注入端点代码中。注入的 JWT 令牌提供有关用户的更多信息。所有扩展都可以将令牌注入为 Principal。
• Quarkus-smallrye-jwt 支持比 quarkus-oidc 更多的密钥格式。quarkus-oidc 只使用属于 JWK 设置的 JWK 格式的密钥，而 quarkus-smallrye-jwt 支持 PEM 密钥。
• quarkus-smallrye-jwt 处理本地签名、内部签名和加密令牌。相反，虽然 quarkus-oidc 也可以验证这些令牌，但它将其视为不透明令牌，并通过远程内省对其进行验证。