<div dir="ltr"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><br class="gmail_msg">
<br class="gmail_msg">
I'll be honest again.  I haven't been shy about saying it elsewhere and<br class="gmail_msg">
I'll repeat it here: I don't understand OIDC.<br class="gmail_msg">
<br class="gmail_msg"><br class="gmail_msg"></blockquote><div><br></div><div>The 80/20 is pretty easy:</div><div><br></div><div>1.  SP - Generate a nonce and redirect the user to authenticate</div><div>2.  idp - auth & generate a OTP, redirect to SP</div><div>3.  SP - validate nonce came back, use OTP and optional client secret to get an id_token via http post back channel call</div><div>4.  SP - Optional - validate the id_token against the idp's public key</div><div>5.  Do something useful now you know who's logged in</div><div><br></div><div>it's really just artifact profile saml using JSON and JWT instead of XML </div></div></div>