2.4. 在 OpenID Connect、SmallRye JWT 和 OAuth2 身份验证机制之间进行选择

身份验证机制用例列表

• Quarkus-oidc 需要 OpenID Connect 供应商，如 Keycloak，它可以验证 bearer 令牌或使用授权代码流验证最终用户。在这两种情况下，quarkus-oidc 需要连接到指定的 OpenID Connect 供应商。
• 如果用户身份验证需要授权代码流，或者您需要支持多个租户，请使用 quarkus-oidc。Quarkus-oidc 也可以使用授权代码流和 Bearer 访问令牌来请求用户信息。
• 如果需要验证 bearer 令牌，请使用 quarkus-oidc 或 quarkus-smallrye-jwt。
• 如果您的 bearer 令牌采用 JSON Web 令牌(JWT)格式，您可以使用前面的列表中的任何扩展。quarkus-oidc 和 quarkus-smallrye-jwt 支持在 OpenID Connect 提供程序轮转密钥时刷新 JsonWebKey (JWK)设置。因此，如果必须避免远程令牌内省，或者供应商不支持，请使用 quarkus-oidc 或 quarkus-smallrye-jwt 来验证 JWT 令牌。
• 要远程内省 JWT 令牌，您可以使用 quarkus-oidc 通过远程内省验证不透明或二进制令牌。quarkus-smallrye-jwt 不支持对不透明或 JWT 令牌的远程内省，而是依赖于通常从 OpenID Connect 供应商检索的本地可用密钥。
• Quarkus-oidc 和 quarkus-smallrye-jwt 支持 JWT 和不透明令牌注入端点代码中。注入的 JWT 令牌提供有关用户的更多信息。所有扩展都可以将令牌作为 主体 注入。
• quarkus-smallrye-jwt 支持比 quarkus-oidc 更多的键格式。Quarkus-oidc 只使用属于 JWK 集的 JWK 格式的密钥，而 quarkus-smallrye-jwt 支持 PEM 密钥。
• Quarkus-smallrye-jwt 处理本地签名、内部签名和加密令牌。相反，虽然 quarkus-oidc 也可以验证这些令牌，但它将其视为不透明令牌，并通过远程内省进行验证。