Tre standard che la gente confonde perché risolvono problemi vicini ma diversi:
- OAuth 2.0 è autorizzazione, non login: "do a questa app il permesso di accedere a quella risorsa a nome mio" – è il meccanismo dietro i token e le API. Da solo non dice chi sei
- OpenID Connect (OIDC) è un sottile strato di autenticazione sopra OAuth: aggiunge l'id token che dice chi è l'utente. È il "Login con Google/GitHub" moderno, JSON e REST, ideale per web e mobile
- SAML è il nonno enterprise dell'SSO: XML, pensato per il web aziendale e i fornitori tradizionali. Verboso ma ancora dominante nelle grandi organizzazioni e nei software B2B legacy
La regola di scelta: nuovo progetto web/mobile → OIDC; integrazione con SSO aziendale o SaaS enterprise che parla solo XML → SAML; accesso delegato ad API senza login → OAuth puro. Il tema di sicurezza trasversale: i token sono credenziali portabili – vanno protetti, con scadenza breve e scope minimo, perché un token rubato è un accesso rubato (è il bersaglio degli attacchi AiTM che aggirano l'MFA).