Fatal编程技术网
  • jwt/
  • Jwt IdToken未与AzureAD签名

Jwt IdToken未与AzureAD签名

jwt azure-active-directory

Jwt IdToken未与AzureAD签名,jwt,azure-active-directory,openid-connect,Jwt,Azure Active Directory,Openid Connect,我正在使用Azure AD Connect与OpenId Connect进行身份验证和许可 我不明白为什么我从Azure收到一个没有签名的JWT IdToken和一个有签名的AccessToken。这可能是由于IdToken设置了alg=none属性。但是为什么不也对IdToken进行签名呢？是否直接从Azure的令牌端点获取ID令牌？如果是这样，则通信是安全的，主机通过TLS/HTTPS进行身份验证，因此无需对ID令牌进行签名或完整性保护，该令牌仅用于您的客户端 因此，如果我知道只有Acces

我正在使用Azure AD Connect与OpenId Connect进行身份验证和许可

我不明白为什么我从Azure收到一个没有签名的JWT IdToken和一个有签名的AccessToken。这可能是由于IdToken设置了alg=none属性。但是为什么不也对IdToken进行签名呢？

是否直接从Azure的令牌端点获取ID令牌？如果是这样，则通信是安全的，主机通过TLS/HTTPS进行身份验证，因此无需对ID令牌进行签名或完整性保护，该令牌仅用于您的客户端

因此，如果我知道只有AccessToken被签名，因为它可以传递给另一个应用程序，该应用程序应该能够检查令牌内容的完整性。是吗？史蒂文，你在和本地客户合作吗？在服务的下一次更新中，publc客户端的id_令牌也将被签名。对于机密客户端，所有id_令牌都应该已经签名，尽管Brian说的是准确的，当然-当您从令牌端点获取令牌时，您不需要检查签名