客户端密钥。该值在存储到 etcd 之前会使用 AES 加密。

自 API7 企业版 3.9.14 和 APISIX 3.17.0 起，对于不与 OpenID 提供商通信的本地 JWT 验证模式（例如将 bearer_only 与 public_key 或 use_jwks 组合使用），客户端密钥是可选的。使用 private_key_jwt 进行客户端身份认证，或授权码流程使用 PKCE 时，客户端密钥也是可选的。对于使用客户端密钥向提供商进行身份认证的流程（例如令牌内省或不使用 PKCE 的授权码流程），客户端密钥仍为必填项。

对应于应返回的有关已认证用户信息的 OIDC 范围，也称为 claims。这用于通过适当的权限对用户进行授权。默认值为 openid，这是 OIDC 返回唯一标识已认证用户的 sub claim 所需的范围。

其他范围可以追加并用空格分隔，例如 openid email profile。

授权所需的范围。如果缺少任一必需范围，插件将以 403 Forbidden 拒绝请求。

使用 Bearer 令牌内省时，范围从内省响应中读取。在 APISIX 3.18.0 中，授权码会话也会接受检查：范围先从访问令牌读取，再从 ID 令牌读取；如果无法确定会话获授的范围，则拒绝该会话。API7 企业版 3.9.18 和 3.10.5 仅在 Bearer 令牌内省时强制执行此字段。

用于验证 OIDC 响应中返回的 Claim 的 JSON Schema。例如，schema {"type":"object","properties":{"access_token":{"type":"string"}},"required":["access_token"]} 确保响应包含名为 access_token 的必需字符串字段。

从 APISIX 3.14.0 和 API7 企业版 3.9.2 起可用。

与 OpenID 提供商认证后重定向到的 URI。

请配置包含协议方案和主机的完全限定 URI。其路径应当匹配路由，但不能与受保护的请求路径完全相同。例如，如果路由 uri 为 /api/v1/*，请把 redirect_uri 设为 https://gateway.example.com/api/v1/redirect。

如果未配置 redirect_uri，或其值是以 / 开头的根相对路径，网关会根据请求的协议方案和主机构建 URI。它会保留请求中显式指定的端口，并且仅当直接代理位于 apisix.trusted_addresses 中时才使用转发的来源请求头。

完全限定 URI 不依赖从请求推导的来源。请在 OpenID 提供商中把同一 URI 配置为允许的重定向 URI。

如果为 true，则验证 OpenID 提供商的 SSL 证书。

自 APISIX 3.16.0 和 API7 企业版 3.9.8 起，默认值由 false 更改为 true。这是一个不兼容变更。

令牌内省端点的身份认证方法。该值应为 well-known 发现文档中 introspection_endpoint_auth_methods_supported 授权服务器元数据指定的身份认证方法之一，例如 client_secret_basic、client_secret_post、private_key_jwt 和 client_secret_jwt。

使用默认的 client_secret_basic 时，客户端凭据仅通过 Authorization 请求头发送。如果身份提供商要求在内省请求体中接收凭据，请将此字段设置为 client_secret_post。

令牌端点的身份认证方法。该值应为 well-known 发现文档中 token_endpoint_auth_methods_supported 授权服务器元数据 指定的身份认证方法之一，例如 client_secret_basic、client_secret_post、private_key_jwt 和 client_secret_jwt。

如果插件不支持配置的方法，则忽略该配置，并使用 OpenID 提供商公布的第一个可用方法。如果插件支持配置的方法，但 token_endpoint_auth_methods_supported 已提供且不包含该方法，则令牌端点身份认证失败。

用于签署客户端断言 JWT 的私钥。当令牌、内省或 PAR 端点选择 private_key_jwt 时必填。密钥类型必须与 client_jwt_assertion_alg 匹配：RS* 使用 RSA 密钥，ES* 使用对应曲线上的 EC 密钥。

该值在存储到 etcd 前会使用 AES 加密。

如果使用非对称算法，则用于验证 JWT 签名的公钥。提供此值以执行令牌验证将跳过客户端凭据流程中的令牌内省。

你可以使用 -----BEGIN PUBLIC KEY----- …… -----END PUBLIC KEY----- 格式传递公钥。

如果为 true 且原始 ID Token 可用，则把身份提供商签发的原始签名 JWT 添加到 X-Raw-ID-Token 请求头中。该 Token 会持久化到会话，以便上游服务使用身份提供商的 JWKS 进行验证。自 API7 企业版 3.9.17 和 3.10.4 以及 APISIX 3.18.0 起可用。

原始 ID Token 属于 bearer 凭证。请仅对可信上游启用，并确保该请求头不会被写入访问日志或回显给客户端。

未经身份认证的请求的操作。

当设置为 auth 时，重定向到 OpenID 提供商的身份认证端点。

当设置为 pass 时，允许请求通过而无需身份认证。

当设置为 deny 时，返回 401 未经身份认证的响应，而不是启动授权码授予流程。

无需重新身份认证即可刷新用户 ID 令牌的时间间隔。在 APISIX 中，未设置时插件不会尝试静默更新。

在 API7 Gateway 中，默认值为 900。

缓存和内省的访问令牌的 TTL（秒）。

默认值为 0，表示不使用此选项，插件默认使用由 introspection_expiry_claim 中定义的过期时间 Claim 传递的 TTL。

如果 introspection_interval 大于 0 且小于由 introspection_expiry_claim 中定义的过期时间 Claim 传递的 TTL，则使用 introspection_interval。

如果 ID 令牌使用了网关不支持的预期签名算法，设置为 true 会在不验证签名的情况下继续；设置为 false 会拒绝该令牌。

对于安全敏感的部署，请将其设置为 false，除非你明确接受 ID 令牌签名未验证的风险。设置为 false 不会增加对其他签名算法的支持。

在 APISIX 3.18.0 以及 API7 网关 3.9.18 和 3.10.5 中，ID 令牌验证路径支持 RS256、RS512、HS256 和 HS512，不验证 PS*、ES* 或 EdDSA 签名。

当端点认证方法为 client_secret_jwt 或 private_key_jwt 时，用于签名客户端断言 JWT 的算法。

client_secret_jwt 应使用 HS* 算法，private_key_jwt 应使用 RS* 或 ES* 算法。算法必须与 client_rsa_private_key 匹配；如果发现文档列出了支持的客户端断言算法，还必须是身份提供商接受的算法。所有端点共用一个配置的算法。

自 API7 企业版 3.9.18 和 3.10.5 以及 APISIX 3.18.0 起可用。

客户端断言 JWT 的 audience Claim。未设置时使用正在调用的端点 URL。当网关访问的是内部端点 URL，而身份提供商要求 audience 使用其外部 URL 时，请配置此字段。

自 API7 企业版 3.9.18 和 3.10.5 以及 APISIX 3.18.0 起可用。