我想要使用單點登錄，並在閱讀了大量有關這兩種（Saml 2.0和OIDC）標準的文章後完全混淆了使用方法。我對他們是如何工作有一個基本的想法，但不確定在安全性方面哪個最好。哪種SSO策略更安全SAML 2.0或OpenId Connect？
我的具體疑問是，openid-connect的混合流是不太安全的，因爲它發送id_token和access_token與auth_code可以將這些令牌暴露給用戶代理。混合流程通常用於SSO（單點登錄）。
在SSO的情況下，OIDC和SAML一樣強大嗎？
OpenID Connect更加現代化，支持更多場景。 SAML2較老，在各種平臺和雲產品上具有更廣泛的支持。
我會與OpenID Connect一起去尋找新的東西。
在任何情況下，我都會建議您使用現有的軟件堆棧作爲您使用的替代方案。編寫正確的SAML2或OpenID Connect實施方案是硬。
完全同意@anders和@Hans - 不要推出自己的。
我不認爲一個人比另一個人不安全。
OIDC/OAuth有四個主要流程，有些比其他更安全 - 資源所有者密碼可能是最不安全的。
Facebook/Google/Twitter等都使用OIDC。
Saleforce/Workday等都使用SAML。
如果協議不安全，他們不會這樣做。
可能更好的問題是哪一個最適合您的使用情況。
非常贊同最後一段！ –
OpenID Connect不是**，它根本不會**，事實上，可以通過遵循規範幾乎立即構建選定流的最小工作代碼。 SAML2是一種野獸，特別是當涉及到簽名/加密以及某些提供商提供的規範化/標準化的特定要求時。 –