"应用服务器是否使用 jwt id 令牌来识别用户，或者 jwt id 令牌是否旨在发送到资源服务器以识别用户？"

Question

Oauth 可用于身份验证、授权和委托。 Oauth 流程最终导致应用服务器接收访问令牌（和刷新令牌）和 jwt ID 令牌（openidconnect）。

应用服务器可以使用访问令牌将其传递给资源服务器，以代表用户（委托）访问资源。

应用服务器是否将Jwt id 令牌传递给资源服务器，以告知资源服务器当前用户是谁？ 还是应用服务器使用 jwt id 令牌对用户进行身份验证以允许应用服务器知道当前用户是谁？

Answer 1

ID 令牌仅证明用户已通过身份验证并提供用户的个人资料数据。 它不包含任何可以证明用户确实确认资源服务器允许对其资源执行某些操作的信息（即没有 OAuth2 范围）。

因此，仅将 ID 令牌传递给资源服务器并不能帮助它做出授权决定。 尽管资源服务器可以通过ID令牌查明用户是什么，进而查明他有什么权限，但仍然不能证明用户确实确认委托应用服务器对其资源进行某些操作。 . （即我有权做某事并不意味着我同意你代表我做这件事。）

因此，请始终将访问令牌传递给资源服务器以做出授权决定。

您也可以参考此博客文章<\/a>，该文章也回答了您的问题。

Answer 2

根据规范，应用服务器不应将 id_token 传递给其他任何东西。

提供给资源服务器的数据应根据传递给授权服务器的范围确定并包含在 access_token 中。

您可以将 access_token 发送到资源服务器，然后资源服务器调用 userInfo 端点。

请记住，这与最终用户授权谁接收什么数据有关。

在https:\/\/github.com\/IdentityServer\/IdentityServer3\/issues\/2015<\/a>上对这些主题进行了相当长的讨论