告别长期静态凭证
内容提要
Vercel 指出长期静态凭证（如 API 密钥、数据库密码）易泄露且轮换成本高，而 OIDC 可让应用使用短期签名令牌认证，无需存储长期密钥。调查显示仅 8.4% 的 SaaS 厂商支持安全认证。为此 Vercel 推出 OIDC UI 组件、扩展 OIDC 支持并缓存令牌以降低延迟，同时要求 Marketplace 厂商在 2026 年 11 月前支持 OIDC，否则标注“不安全”，并于 2027 年 1 月下架。
延伸解读
静态凭证的风险与轮换代价
文章指出，长期静态凭证（如API密钥、数据库密码）容易泄露到代码仓库或聊天中，也可能因依赖被入侵或提示注入而暴露。攻击者获得凭证后，可在其过期或撤销前一直使用。Vercel自身曾花费数千工程小时进行多次痛苦的密钥轮换，说明轮换不仅耗时，还需跨系统协调，失误可能中断生产。
OIDC如何降低泄露影响
OIDC允许应用不存储长期提供商密钥，而是由可信签发方提供短期签名令牌，接收服务验证令牌后决定授权。即使令牌被盗，过期后即失效，限制了泄露窗口。应用可编程获取新凭证，无需分发和手动轮换持久密钥。Vercel的OIDC联邦自2024年普遍可用，可换取AWS、Google Cloud和Azure的临时凭证。
采用障碍与Vercel的应对
调查显示仅8.4%的SaaS厂商支持安全认证。文章归纳三大障碍：工具设置比静态密钥复杂、令牌获取增加延迟、厂商缺乏激励。Vercel推出OIDC UI组件注册表，提供信任策略表单和令牌验证代码；通过缓存未过期令牌、复用平台令牌减少网络调用；并扩展OIDC支持至API和CLI，以降低使用门槛。
对Marketplace厂商的硬性要求
Vercel为Marketplace厂商设定了明确时间表：2026年11月30日前不支持OIDC认证且仍用长期密钥的厂商，其列表将显示“不安全”标签；2027年1月前未提供安全认证的厂商将被下架。Vercel API和自家原生集成也须达到同样标准。这借鉴了HTTPS普及中浏览器标注“不安全”并设截止日的做法，以激励厂商跟进。
Q&A
长期静态凭证（如API密钥）有什么安全隐患？
长期静态凭证容易泄露到代码仓库或聊天中，或在服务、依赖被攻破时被窃取，也可能因提示注入导致代理泄露。攻击者利用凭证的权限直到其过期或被撤销。轮换泄露的凭证耗时且需协调，可能中断生产。
OIDC认证是如何工作的？
OIDC允许应用无需存储长期提供商密钥即可认证。受信任的颁发者提供签名的短期令牌来标识应用，接收服务验证令牌后决定授予的访问权限。被盗令牌在过期后失效，应用可以编程方式获取新凭证，无需手动轮换。
Vercel为推广OIDC认证提供了哪些工具和支持？
Vercel推出了OIDC UI（shadcn/ui注册表，提供信任策略表单和令牌验证代码），扩展了OIDC支持（如Blob、AI Gateway、Sandbox），并通过Vercel Connect在运行时请求短期令牌。还缓存令牌以减少延迟，并扩展OIDC支持到Vercel API和CLI。
Vercel Marketplace对厂商支持OIDC有什么要求？
到2026年11月30日，不支持OIDC认证且使用长期密钥的厂商将在列表上显示“不安全”消息；到2027年1月，不提供安全认证的厂商将被下架。Vercel API和原生集成也遵循相同标准。
采用OIDC认证可能面临哪些障碍？
主要障碍包括：工具和设置使安全认证比使用静态密钥更复杂；在请求路径上获取或交换令牌会增加延迟；厂商提供和优先考虑安全认证的动力不足。
Vercel如何降低OIDC认证的性能开销？
Vercel Functions在请求头中接收平台颁发的令牌，SDK无需额外获取。平台重用未过期令牌，Vercel Connect在进程中缓存提供商令牌并在临近过期时刷新。自定义受众和提供商交换需要网络调用。
