授权服务器常见的支持协议
在企业网络或云服务环境中，授权服务器负责验证用户身份并发放访问凭证。这类服务器并不是只用一种方式工作，而是依赖多种标准协议来完成认证和授权流程。了解它支持哪些协议，能帮助你更好地配置系统、排查登录问题。
OAuth 2.0：最常用的授权框架
现在大多数应用都基于 OAuth 2.0 来实现第三方登录或API访问控制。比如你用微信登录某个网站，背后就是 OAuth 2.0 在起作用。授权服务器通过这个协议，让用户同意授权后返回一个临时令牌（access token），而不是直接暴露账号密码。
典型的请求流程像这样：
GET /authorize?response_type=code&client_id=abc123&redirect_uri=https%3A%2F%2Fexample.com%2Fcallback&scope=read用户确认后，服务器会重定向到回调地址，并附带一个授权码，客户端再用这个码去换取令牌。
OpenID Connect：基于OAuth的身份层
如果你需要的不只是授权，还想确认“你是谁”，那就会用到 OpenID Connect（简称OIDC）。它是在 OAuth 2.0 基础上加了一套身份验证机制，返回一个 ID Token（通常是JWT格式），里面包含用户的基本信息，比如姓名、邮箱、唯一标识。
很多公司内部系统单点登录（SSO）就靠它实现。比如你早上上班打开OA、项目管理工具、邮件系统，都不用重复登录，就是因为它们都对接了同一个 OIDC 授权服务器。
SAML：传统企业偏爱的老将
在金融、教育或大型国企里，SAML 仍然广泛使用。它主要用于Web浏览器单点登录，流程比 OAuth 复杂一些，依赖XML格式的消息交换。用户访问应用时被重定向到身份提供方（IdP），登录完成后 IdP 返回一个断言（Assertion）给服务提供方，证明身份合法。
虽然看起来老旧，但 SAML 的安全性和成熟度在某些合规场景下仍是首选。比如银行内部系统对接外部合作平台，常要求支持 SAML 2.0。
LDAP：老牌目录服务协议
别看 LDAP 出现得早，到现在还有不少授权服务器拿它做用户源验证。尤其是企业用了 Microsoft Active Directory 的环境，LDAP 就是查询和验证账号密码的主要手段。授权服务器可以通过 LDAP 连接域控，检查用户名密码是否正确，再决定是否发令牌。
比如你在公司内网登录某个内部工具，输入的账号密码其实是通过 LDAP 协议去后台验证的。
其他补充协议
有些系统还会支持 CAS（Central Authentication Service），特别是一些高校网站，用它来做统一登录。另外像 Kerberos 这类协议，在 Windows 域环境中也会参与身份验证过程，虽然不直接由授权服务器处理，但常作为底层支撑。
实际部署中，授权服务器往往同时开启多个协议。比如既支持 OIDC 给移动端用，又保留 SAML 给老系统对接，还通过 LDAP 同步用户数据。选择哪种协议，取决于你要接入的应用类型、安全要求以及现有基础设施。
搞清楚授权服务器支持哪些协议，不只是技术人员的事。普通用户遇到“无法登录”“跳转失败”等问题时，了解背后的机制，也能更快判断是账号问题还是系统配置不对。