情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

OAuthとOIDCの違いが分かりません。
結局どっちも認証と認可を行っているのに、「認証機能を持たないOAuthに、認証機能を持たせた拡張仕様がOIDC」と言われている意味が分かりません。

>結局どっちも認証と認可を行っているのに、「認証機能を持たないOAuthに、認証機能を
>持たせた拡張仕様がOIDC」と言われている意味が分かりません。
OAuth2.0とOpenID Connectについてはいろいろ情報が錯綜しており、ネットでも正しい
情報を得るのが非常に困難です。ですので、以下は基本的な内容になります。

OAuth2.0は認証機能はありません。
OAuth2.0の認可フローを疑似的に認証のように使うことができますが、これはOAuth2.0の
設計からはずれたイレギュラーな扱いになります。また、この認証には通常の認証機能と
比べて脆弱性があるので利用してはいけないです。

OpenID ConnectはOAuth2.0の認可フローを改良し、認証にも利用できるようにしたものです。
基本的な考え方として、
・OpenID Connect：認証に使われる（認証がメイン）、併せて認可も可能
・OAuth2.0：認可に使われる（認可がメイン）、認証機能はない
でよいかと思われます。

ご回答ありがとうございます。