# @effected/oidc 中文文档

规范地址：https://npmcn.com/package/%40effected/oidc/

版本：0\.5\.0
npm 元数据更新时间：2026-11-10T15:15:16.806Z
中文译文更新时间：2026-11-13T12:52:00.121Z
软件包许可：MIT

本文由上游 README 翻译，可能存在偏差，请结合原文核对 API、命令与配置。版权与许可归原作者所有。

原始 npm 页面：https://www.npmjs.com/package/%40effected/oidc
原文对照：https://npmcn.com/package/%40effected/oidc/?lang=original
项目主页：https://github.com/spencerbeggs/effected/tree/main/packages/oidc#readme
源码仓库：https://github.com/spencerbeggs/effected

## 关键信息（来自 npm 元数据）

- 包体积（解压后）：29.7 kB，9 个文件
- 模块格式：ES Module
- TypeScript 类型：包内自带
- Node.js 要求：\>=24\.11\.0
- 运行依赖：1 个
- peer 依赖：effect ~4\.1\.0
- 首次发布：2026-10-23T03:52:02.149Z
- 最新版本发布：2026-11-10T15:15:16.240Z
- 近 30 天下载量：3813（2026-10-13 至 2026-11-11，npm 官方下载统计）
- 已发布版本数：8（近 12 个月 8 个）

## 中文简介

OpenID Connect for Effect v4:身份token发行商合同,ID-token索赔,以及被发现备份的验证通过@eeffect/jwt.

## 安装

```sh
npm install @effected/oidc
```

也可以使用：`pnpm add @effected/oidc`、`yarn add @effected/oidc`、`bun add @effected/oidc`

## README

# @ effect/ oidc

[![npm](https://img.shields.io/npm/v/@effected%2Foidc?label=npm&color=cb3837)](https://www.npmjs.com/package/@effected/oidc) [![License: MIT](https://img.shields.io/badge/License-MIT-4caf50.svg)](https://opensource.org/licenses/MIT) [![Node.js %3E%3D24.11.0](https://img.shields.io/badge/Node.js-%3E%3D24.11.0-5fa04e.svg)](https://nodejs.org/)

OpenID Connect for Effect v4:对照其发行人所发现的密钥验证一个ID令牌,读取标准ID-token的诉求,并通过任何运行时间都可以服务的一个小合同请求一个工作量身份令牌. 它运行任何地方WebCrypto做, 包括Cloudflare工人,没有 `node:` 导入.

> **预`1.0.0`。 。 。 .** 此软件包是 `@effected/*` 工具箱,在 稳定效果 v4并仍在 `0.x` 发展。 为了保持你的 `effect` 财务报告和审定财务报表 `@effect/*` 该工具包在线上构建和测试、安装 [`@effected/pnpm-plugin-effected`](https://www.npmjs.com/package/@effected/pnpm-plugin-effected)。 。 。 .
> 
> **稳定:不稳定.** 此软件包的 API 表面尚未考虑 完成并可能改变 `0.x` 释放 准确的版本。 满 政策: [释放策略](https://github.com/spencerbeggs/effected#release-strategy)。 。 。 .

## 为什么 @ e受影响/ idc

校验一个OIDC ID标志是一种JWT的校验,有三种规则容易出错:密钥出自发行商的发现文件,你信任的发行商是你配置的而不是象征性的声称,观众必须总是被校验,因为发行商是每个依赖方的一键设置标志标志. `Oidc.verify` 持有全部三: 它只为配置的发行者查找密钥, 它在提出任何请求之前拒绝一个空的听众 .

核心的签名和索赔核对 `effect/jose`,通过 [`@effected/jwt`](https://www.npmjs.com/package/@effected/jwt)发现支持 `JwksResolver`如果您持有发行人的密钥, 或者它的 JWKS URL 固定在您的配置中, 核心 `effect/jose` (单位:千美元)`Jwt.verify` 与 `Jwks.layerRemote`)在没有此包的情况下进行工作。 到达 `Oidc.verify` 在发现后找到密钥时 `@effected/jwt`更安全的默认值( 60 秒时钟 skew, `exp` ),或当您想要时 `IdTokenClaims` 编辑 `IdentityToken` 合同.

对于 GitHub 动作 OIDC 令牌, 使用 `ActionsOidc.verify` 从 [`@effected/github`](https://www.npmjs.com/package/@effected/github),这是 `Oidc.verify` 被绑在GitHub的发行人身上,有打字的权利要求.

## 安装

```bash
npm install @effected/oidc effect
```

```bash
pnpm add @effected/oidc effect
```

在节点上,它需要Node.js QQ24.11.0;它还运行在任何其他WebCrypto运行时间上,Cloudflare Workers也包括在内. `effect` v4是唯一的对等者,和 `@effected/jwt` 带着它 导入 `JwksResolver` 财务报告和审定财务报表 `JwksStore` 从 `@effected/jwt`全部数据 `@effected/*` 软件包仅限无害环境管理.

## 提供什么

| 运行 | 要求数 |
| --- | --- |
| `Oidc.verify` | `JwksResolver` (从) `@effected/jwt`和 `Signature.Signature` (从) `effect/crypto`(中文(简体) ) |
| `Oidc.decodeUnverified` | 无 |
| 使用 `IdentityToken` | a 一个 `IdentityToken` 层 (下方) |

| 服务 | 任何 WebCrypto 运行时间( 包括工人) | 节点 |
| --- | --- | --- |
| `Signature.Signature` | `Signature.layerWebCrypto.pipe(Layer.provide(SecureRandom.layerWebCrypto))` | `NodeCrypto.layerSignature` 从 `@effect/platform-node` |
| `JwksResolver` | `JwksResolver.layer`,超过一个 `HttpClient` (单位:千美元)`FetchHttpClient.layer`)和a 数据 `JwksStore` (单位:千美元)`JwksStore.layerMemory`,或KV后置商店) | 相同,或 `NodeHttpClient.layerUndici` 为客户服务 |
| `IdentityToken` | `IdentityToken.layerStatic(token)`; 在 GitHub 动作中, `ActionsIdentityToken.layer` 从 `@effected/github-actions` | 同样的 |

```ts
import { JwksResolver, JwksStore } from "@effected/jwt";
import { Layer } from "effect";
import { SecureRandom, Signature } from "effect/crypto";
import { FetchHttpClient } from "effect/http";

const OidcLive = Layer.merge(
  JwksResolver.layer.pipe(Layer.provide(Layer.merge(FetchHttpClient.layer, JwksStore.layerMemory))),
  Signature.layerWebCrypto.pipe(Layer.provide(SecureRandom.layerWebCrypto)),
);
```

## 验证标识符

```ts
import { IdTokenClaims, Oidc } from "@effected/oidc";

const verifyIdToken = (token: string) =>
  Oidc.verify(token, {
    issuer: "https://accounts.example.com",
    audience: "my-client-id",
    claims: IdTokenClaims,
  });
// Effect<IdTokenClaims, JwtError, JwksResolver | Signature>
```

键是从 `<issuer>/.well-known/openid-configuration`,而发现文件必须准确命名该发行人。 签名就来了, `exp` (必须), `iss` (必须等于 `issuer`, (中文(简体) ), `aud` (必须包含其中之一) `audience`,可能是一个清单, `nbf`、 `claims` 计划,和 `iat` 未来没有,60秒的时钟允许(`clockTolerance` 改变它.

## 身份证上的说法

`IdTokenClaims` 已登记的JWT索赔(`iss`, (中文(简体) ), `sub`, (中文(简体) ), `aud`, (中文(简体) ), `exp`, (中文(简体) ), `nbf`, (中文(简体) ), `iat`, (中文(简体) ), `jti`)加 OpenID 连接 ID - token 索赔 `azp`, (中文(简体) ), `nonce`, (中文(简体) ), `auth_time`, (中文(简体) ), `acr` 财务报告和审定财务报表 `amr`。每个权利要求都是可选的,因此它解码了任何提供者的代号,而计划是开放的,因此权利要求它没有名字在解码中存活下来。 方案中的可选性并不意味着可选性: `Oidc.verify` 仍然需要 `exp` 检查 `iss` 财务报告和审定财务报表 `aud`。 。 。 .

供货商自己的主张属于你自己的计划,建立在 `IdTokenClaims`字段 :

```ts
import { IdTokenClaims, Oidc } from "@effected/oidc";
import { Schema } from "effect";

const GoogleClaims = Schema.StructWithRest(
  Schema.Struct({
    ...IdTokenClaims.schema.fields,
    email: Schema.String,
    email_verified: Schema.Boolean,
  }),
  [Schema.Record(Schema.String, Schema.Unknown)],
);

const verifyGoogle = (token: string) =>
  Oidc.verify(token, { issuer: "https://accounts.google.com", audience: "my-client-id", claims: GoogleClaims });
```

`Oidc.decodeUnverified(token, claims)` 用计程器解码一个符号的有效载荷 **无需验证任何东西**用于读取一个令牌, 您的进程是用它已经信任的运行时间传递的, 而不是授权请求 .

## 这个 `IdentityToken` 合同

`IdentityToken` 是另一个方向: 一个需要 _当前_ 工作量身份(用来交换签名证书,例如)要求给一个观众一个符号,运行时间决定如何获得.

```ts
import { IdentityToken } from "@effected/oidc";
import { Effect, Redacted } from "effect";

const presentIdentity = Effect.gen(function* () {
  const identity = yield* IdentityToken;
  const token = yield* identity.token("https://my-service.example");
  return Redacted.value(token);
});

// A token you already hold. The audience is ignored: mint it for the audience it will be used with.
const program = presentIdentity.pipe(Effect.provide(IdentityToken.layerStatic(process.env.OIDC_TOKEN ?? "")));
```

在 GitHub 动作中,提供 `ActionsIdentityToken.layer` 从 `@effected/github-actions`,它问 跑者的信使服务. `IdentityToken` 本身只进口 `effect`,因此,一个只需要合同链接到JWT代码的软件包.

## 错误

`Oidc.verify` 财务报告和审定财务报表 `Oidc.decodeUnverified` 失败 `@effected/jwt`是因为 `JwtError` 并且不要增加他们自己的错误。 运行路线 `reason`数字 :

| `reason` | 含义 |
| --- | --- |
| `wrongAudience` | `aud` 包含没有被接受的受众,或者缺少;以及空的 `audience` 在任何请求之前被拒绝. |
| `wrongIssuer` | `iss` 缺少或不是已配置的发行者. |
| `expired` 编号 : `notYetValid` | `exp` 已经过去,或 `nbf` 或者说 `iat` 未来 超越时钟的容忍度. |
| `claims` | `exp` 缺少, 注册的索偿类型有错误, 或者您 `claims` schema拒绝了有效载荷. |
| `badSignature` | 签名不能与发行人的密钥核对. |
| `unknownKid` | 发行商的密钥集没有用于令牌算法和 `kid`即使经过一次反弹. |
| `jwksFetch` | 无法获取发现文件或密钥集, 不是 `https:`,或指定另一个发行人. |
| `malformed` | 并非带有JSON物体有效载荷的紧凑JWS,或 `alg: "none"`。 。 。 . |
| `unsupportedAlgorithm` 编号 : `algorithmMismatch` 编号 : `key` | HMAC算法,一个 `alg` 这不是密钥,也不是不导入的已公布密钥. |

`IdentityToken.token` 失败 `IdentityTokenError`,带有 `audience` 请求的标志和基础 `cause`。 。 。 .

## 测试

`IdentityToken.layerTest()` 用固定的测试符回答每个请求; 通过 `{ token }` 以不同的回答来回答。 测试 `Oidc.verify`,用 `TestIssuer` 从 `@effected/jwt/testing` ,并提供其 `resolverLayer`真正的解决者 在一个内幕发行者:

```ts
import { TestIssuer } from "@effected/jwt/testing";
import { IdTokenClaims, Oidc } from "@effected/oidc";
import { Effect } from "effect";

const test = Effect.gen(function* () {
  const issuer = yield* TestIssuer.make({ issuer: "https://accounts.example.com" });
  const token = yield* issuer.sign({ aud: "my-client-id", sub: "user-1" });
  return yield* Oidc.verify(token, {
    issuer: "https://accounts.example.com",
    audience: "my-client-id",
    claims: IdTokenClaims,
  }).pipe(Effect.provide(issuer.resolverLayer));
});
// provide Signature (see "What to provide") around the test
```

## 许可证

[麻省理工学院](https://npmcn.com/package/%40effected/oidc/LICENSE)

## 常见问题

### @effected/oidc 是什么？

OpenID Connect for Effect v4:身份token发行商合同,ID-token索赔,以及被发现备份的验证通过@eeffect/jwt\.

### 如何安装 @effected/oidc？

在项目目录运行 npm install @effected/oidc，或使用 pnpm add / yarn add / bun add。它还需要宿主项目提供 peer 依赖：effect（~4\.1\.0）。npm 7 及以上与 pnpm 8 及以上默认会自动安装必需的 peer 依赖，Yarn 需要手动安装。

### @effected/oidc 支持 TypeScript 吗？

支持。包内自带 TypeScript 类型声明（package\.json 声明了 types 入口），安装后即可获得类型提示，无需再安装 @types 包。

### @effected/oidc 支持 ESM 还是 CommonJS？

以 ES Module 形式发布，推荐使用 import 引入。在 CommonJS 项目中，Node\.js 20\.19\+ / 22\.12\+ 可以直接 require\(\) 不含顶层 await 的 ES Module，更早的版本需要改用动态 import\(\)。

### @effected/oidc 需要什么版本的 Node\.js？

package\.json 的 engines 字段要求 Node\.js \>=24\.11\.0。版本不符时 npm 默认只给出警告，开启 engine-strict 后会拒绝安装。

### @effected/oidc 可以商用吗？

@effected/oidc 使用 MIT 许可。宽松许可：允许商业使用、修改和再分发，通常只需在分发时保留原版权与许可声明。以上为概括，不构成法律意见，请以许可原文为准。

### @effected/oidc 的下载量有多少？

根据 npm 官方下载统计，@effected/oidc 在 2026/10/13 – 2026/11/11 这 30 天内被下载 3,813 次，日均约 127 次。下载量会把 CI 构建、镜像同步和作为其他包依赖的安装一并计入，适合横向比较热度，不能直接等同于使用人数。

### @effected/oidc 还在维护吗？

最新版本 0\.5\.0 发布于 2026/11/10（2 天前）；至今共发布 8 个版本，其中过去 12 个月发布了 8 个；首次发布于 2026/10/23。发布频率只是参考信号：功能稳定的工具可能很少需要更新，建议结合源码仓库的 issue 和提交记录判断。