客户端发送带有 scope=openid（外加 profile、email）的 OAuth 授权请求，收到授权码后用它换取 ID 令牌和访问令牌，然后验证 ID 令牌（用提供方 JWKS 中的密钥验证签名，并检查 iss、aud、exp、nonce）。发现机制（/.well-known/openid-configuration）公布端点、支持的算法和 jwks_uri；动态注册和登出规范覆盖生命周期的其余环节。
核心规范也已作为 ISO/IEC 标准发布（ISO/IEC 26131:2024）。OpenID 基金会的相关工作包括面向开放银行的 FAPI 安全配置文件、用于建立信任链的 OpenID Federation，以及面向可验证凭证的 OpenID（OpenID4VP 和 OpenID4VCI），数字身份钱包使用的就是这两项协议。
典型错误：省略 nonce 或 state；接受多租户提供方任意租户签发的令牌；不检查 email_verified 和颁发者，就把电子邮件声明当作账号标识；把 ID 令牌当作 API 访问令牌使用。