OAuth 2.0 risponde solo alla domanda se un'applicazione può accedere a qualcosa. OIDC aggiunge chi è l'utente: l'identity provider emette un ID token in formato JWT con claim come sub, email e name. Per l'SSO nelle nuove applicazioni oggi OIDC è di solito preferito a SAML.
La configurazione è semplice: registri client ID, client secret e redirect URI sull'IdP e inserisci l'URL dell'issuer nell'applicazione. Tutti gli altri endpoint arrivano dal documento di discovery /.well-known/openid-configuration.
Errori comuni: la redirect URI non coincide carattere per carattere (redirect_uri_mismatch), viene usato il claim sbagliato come username, oppure client secret scaduti in Microsoft Entra ID bloccano il login.
Esempio
curl -s https://id.example.com/realms/main/.well-known/openid-configuration