我们在 ABAP 系统里配置OIDC Logon时,表面上看到的是用户打开一个 Fiori Launchpad、一个 Web Dynpro、一个 BSP、一个自研 ICF 服务,浏览器跳到公司统一登录页,登录成功后又回到 ABAP 系统。这个过程看起来像一次普通跳转,真正发生的事情却要复杂得多。ABAP 系统不再自己收用户名和密码,而是把认证动作交给外部的OpenID Provider,自己扮演Relying Party。SAP 的 ABAP OIDC 文档也明确描述了这一点,ABAP 以OIDC Relying Party的角色支持 OpenID Connect 认证,并把用户认证委托给独立的OpenID Provider,认证结果通过ID Token传回 ABAP 系统。这个ID Token遵循JWT标准,是一个带数字签名的 JSON 结构,里面包含一组称为claims的键值信息。(consolut)
说到SSO Request Flow,最容易混淆的是 OAuth 2.0 和 OIDC 的边界。OAuth 2.0 更偏向授权,核心问题是一