Какую проблему решает OpenID Connect?

А, слушай, смотри, вот есть такая штука — OpenID Connect, или OIDC, если по-пацански. Это, блядь, такой протокол, который сидит верхом на OAuth 2.0, как мартышка, и позволяет тебе заходить на кучу разных сайтов одной и той же учёткой. Типа, у тебя есть аккаунт в Гугле — и нахер не надо на каждом новом сайте придумывать логин «Вася1992» и пароль «qwerty123», который ты всё равно забудешь.

И что он, сука, решает, этот OIDC?

• Заебали пароли (Password Fatigue): Представь, ты должен для каждого говносайта новую пару логин-пароль плодить. Овердохуища работы! А тут — раз и готово, одной кнопкой.
• Безопасность, ёпта: Сайту, куда ты лезешь, вообще похуй на твой пароль. Он его даже не видит! Вся эта муть с проверкой — на стороне провайдера (того же Гугла), у которого, будем честны, безопасность получше, чем у какого-нибудь сайта-однодневки про крипту. Меньше шансов, что твои данные уплывут, потому что их просто нигде не хранят, блядь.
• Вошёл один раз — и гуляй (Single Sign-On, SSO): Авторизовался в Гугле — и потом можешь тыкать на кнопки «Войти через Google» хоть до посинения, тебя больше не спросят «пароль, мать твою, введи!».
• Всё по стандарту, без самодеятельности: После успешного входа тебе прилетает так называемый ID Token — этакая цифровая бумажка (JWT), в которой стандартным образом написано, кто ты (имя, почта). Никаких «а у нас поле называется user_name, а у них — nickname», всё единообразно, красота.

Как это работает, если на пальцах:

1. Ты на сайте жмёшь «Войти через Гугл».
2. Сайт, хитрая жопа, перенаправляет тебя прямиком к Гуглу.
3. Ты там логинишься и говоришь: «Да, разрешаю этому сайту узнать, что я — это я».
4. Гугл, такой довольный, швыряет тебя обратно на сайт, но при этом в карман суёт два токена: ID Token (твоё удостоверение личности) и Access Token (ключ от некоторых дверей).
5. Сайт берёт этот ID Token, проверяет, не поддельный ли (подпись, срок годности) — и вуаля, он тебя узнал. Всё, можно чайку пить.

Вот, смотри, как это в коде на Flask может выглядеть, с использованием flask_oidc:

from flask import Flask, redirect, url_for, session
from flask_oidc import OpenIDConnect
from dotenv import load_dotenv
import os

load_dotenv() # Грузим переменные окружения из файлика .env

app = Flask(__name__)
app.config.update({
    'SECRET_KEY': os.getenv('FLASK_SECRET_KEY', 'supersecret'), # Секрет для сессий, в проде меняй на что-то нормальное!
    'OIDC_CLIENT_SECRETS': 'client_secrets.json', # Файл с настройками клиента OIDC (тут твой client_id и client_secret)
    'OIDC_ID_TOKEN_COOKIE_SECURE': False, # Для локалки False, для прода — True (обязательно!)
    'OIDC_REQUIRE_VERIFIED_EMAIL': False, # Требовать ли подтверждённую почту
    'OIDC_USER_INFO_ENABLED': True, # Разрешаем получать инфу о пользователе
})

oidc = OpenIDConnect(app) # Создаём объект OIDC

@app.route('/')
def index():
    if oidc.user_loggedin: # Если юзер залогинен
        return f"Ну привет, {oidc.user_getfield('email')}! <a href='/logout'>Свалить отсюда</a>"
    return "<a href='/login'>Войти через OpenID Connect</a>" # Если нет — предлагаем войти

@app.route('/login')
@oidc.require_login # Этот декоратор и отвечает за всю магию редиректов на провайдера
def login():
    # Сюда пользователь прилетит после успешного логина у провайдера
    return redirect(url_for('index'))

@app.route('/logout')
def logout():
    oidc.logout() # Разлогиниваем
    return redirect(url_for('index'))

if __name__ == '__main__':
    # Для работы нужен файл client_secrets.json и переменная FLASK_SECRET_KEY
    # Пример client_secrets.json:
    # {
    #   "web": {
    #     "client_id": "ТВОЙ_CLIENT_ID",
    #     "client_secret": "ТВОЙ_CLIENT_SECRET",
    #     "auth_uri": "https://accounts.google.com/o/oauth2/auth",
    #     "token_uri": "https://oauth2.googleapis.com/token",
    #     "userinfo_uri": "https://openidconnect.googleapis.com/v1/userinfo",
    #     "redirect_uris": ["http://localhost:5000/oidc_callback"],
    #     "issuer": "https://accounts.google.com"
    #   }
    # }
    app.run(debug=True)

Короче, flask_oidc делает всю грязную работу за тебя. Ты просто настраиваешь, а он уже сам редиректит, токены ловит, проверяет и говорит: «Всё, чувак, этот пользователь — легальный, бери его данные и работай». И никаких тебе паролей в своей базе, ебать мои старые костыли, одна сплошная радость.