01
Возьмите ожидаемое значение у клиента
Ожидаемый issuer применяется к обоим документам. Учитываются регистр, явный порт и завершающий слеш. Если сравниваются окружения с намеренно разными издателями, оставьте поле пустым.
Метаданные поставщика идентификации
конфигурация OIDCПроверка объявленных параметров
Вставьте JSON документа конфигурации. Включите сравнение, чтобы проверить второй документ.
конфигурация OIDC
Документ JSON A
Обработка выполняется в этой вкладке. Данные не отправляются, не сохраняются и не загружаются с внешних адресов.
Отчёт по полям
Вставьте документ или загрузите пример.
Параметры
Введённая строка сравнивается с обоими документами без изменений. Пустое поле отключает сверку с ожидаемым значением.
Вставьте документ или загрузите пример.
Проверяются только метаданные, без подтверждения подлинности сервера, доступности адресов или подписей токенов.
После изменения прокси или адреса арендатора конфигурация OIDC может содержать корректный JSON, но неправильный issuer. Здесь исходное значение остаётся рядом с диагностикой, поэтому ошибку адреса можно отличить от отсутствующего обязательного поля.
Метаданные OpenID Connect описывают возможности, объявленные поставщиком. Они не подтверждают работоспособность всех сервисов. Сначала сопоставьте документ конфигурации с настройками клиента, затем проверяйте запросы и вход в нужном окружении.
Как читается конфигурация OIDC
Диагностика рядом с исходным полем
В отчёте конфигурация OIDC разделена на издателя, адреса, алгоритмы и возможности. Обязательные поля видны даже при отсутствии в документе. Расширения вне охвата помечены как непроверенные. По координатам поля можно перейти к соответствующей строке ввода.
Изменения между двумя версиями
Вставьте старую версию в A, новую — в B. Для каждой формируется собственная диагностика, а различия показывают переход от A к B. Пути JSON Pointer обозначают добавленные, удалённые и изменённые значения, включая вложенные расширения.
Как использовать ожидание и сравнение
02
Выберите момент проверки
Автоматическая проверка запускается через 350 мс после изменения. Выключите её для запуска кнопкой или Ctrl/Cmd + Enter. Изменение ввода или параметров сразу блокирует экспорт предыдущего результата.
03
Читайте документы отдельно от различий
Вкладки A и B показывают состояние полей каждого документа. Различия показывают изменения между ними. Списки открываются по 50 записей, но скопированный или скачанный отчёт содержит все записи.
Что проверяется в метаданных
Обязательные и условные поля
Проверяются issuer, адрес авторизации, jwks_uri, типы ответа и субъекта, алгоритмы подписи ID Token. Адрес выдачи токенов может отсутствовать только при явно объявленных grants и типах ответа, указывающих исключительно на неявный поток.
Синтаксис URL и точное совпадение
Протокольные адреса должны быть абсолютными HTTPS URL без учётных данных и фрагмента. issuer также не допускает строку запроса. Перед сравнением URL не нормализуется. Адреса на другом хосте разрешены: общий домен не является общим требованием Discovery.
Алгоритмы и объявленные возможности
RS256 обязателен в списке подписи ID Token. Значение none даёт предупреждение в этом списке и ошибку для подписей аутентификации клиента. Списки scope, grants и логические параметры проверяются как заявления, без испытания реальной поддержки алгоритмов.
Сравнение без округления чисел
Большие целые и длинные десятичные числа сохраняются без промежуточного преобразования в числа JavaScript. Порядок ключей объектов игнорируется, массивы сравниваются по позициям. В путях правильно экранируются слеши и тильды.
Границы проверки и ограничения
- Без сетевых и протокольных запросов
- Инструмент не получает документы по URL, не выполняет вход, обмен кодов, регистрацию клиентов или запрос UserInfo. По вставленному тексту нельзя проверить сертификат TLS, правила CORS или доступность сервиса из вашей сети.
- Адрес ключей не заменяет проверку токена
- jwks_uri можно прочитать и скопировать, но ключи не загружаются. Проверка подписи JWT требует доверенных ключей и подходящих условий проверки токена. Этот отчёт не подтверждает подлинность пользователя.
- Охват ограничен указанными правилами
- Известные поля проверяются по типам и перечисленным условиям. Адреса документации и политик проверяются лишь как непустые строки; другие расширения остаются непроверенными. Отсутствие openid в списке scope не доказывает отсутствие поддержки.
- Строгий JSON и пределы обработки
- На документ: 100 000 символов, 500 полей верхнего уровня, глубина 100 и 50 000 узлов. Повторные ключи, комментарии и завершающие запятые запрещены. До 5 000 различий и 4 096 символов ожидаемого issuer. Пустые стандартные массивы следует исключать.
- Без исправления и объединения
- Перестановка массива считается изменением, даже если поставщик воспринимает список как множество. 100 и 1e2 численно равны, а отсутствие и null различаются. Значения по умолчанию не добавляются. Замена или очистка существующего ввода требует просмотра и допускает отмену.
конфигурация OIDC: частые вопросы
Почему issuer не совпадает с ожидаемым значением?
Проверьте HTTP или HTTPS, публичный хост, путь арендатора и завершающий слеш. Прокси может по ошибке публиковать внутренний адрес. Точное сравнение сохраняет эти различия; изменение ожидания ради совпадения само по себе не устраняет ошибку настройки.
JWKS всегда находится по адресу /.well-known/jwks.json?
Нет. Правильное расположение объявлено в jwks_uri. Путь и хост могут быть другими. Здесь проверяется адрес как текст, а не содержимое опубликованного набора ключей.
Где находится документ Discovery?
Обычно к пути issuer добавляется /.well-known/openid-configuration. Уточните адрес в документации поставщика, получите JSON привычным способом и вставьте его сюда. Эта страница не загружает URL.
Какой файл ключей нужен для входа OIDC через Keycloak?
Keycloak объявляет адрес публичного набора ключей в jwks_uri. Клиентская библиотека получает нужные ключи согласно своей конфигурации. Здесь отображается только декларация; файл ключей не создаётся и вход не выполняется.
Почему инструмент Discovery выдаёт ошибку CORS?
При обращении браузера к другому источнику серверу нужны подходящие заголовки разрешения доступа. Анализ вставленного текста не делает такой запрос и не испытывает CORS. Отчёт без ошибок не гарантирует, что приложение сможет получить метаданные.
Нашли ошибку вычисления или проверки?
Сохраните результат для следующей версии
Если конфигурация OIDC меняется между развёртываниями, храните отчёт вместе с проверенной версией. Так объявленные изменения можно отделить от поведения, которому ещё нужен настоящий протокольный тест.