ID 令牌和访问令牌处理

Question

我读了一点关于 OAuth 和 OIDC 协议的内容。 还有一个我觉得有点难以理解的概念：ID 令牌是由应用程序客户端读取的，而访问令牌是由 API 读取的。

但这并不止于此，我还阅读了诸如 ID 令牌用于前端和访问用于后端的内容。

对我来说这很令人困惑，例如：我使用 .net、前端和后端创建了一个 web 应用程序。 当我登录时，客户端同时拥有 ID 和访问令牌。

此外，访问令牌被发送到客户端/前端看不到的服务器，以防止黑客窃取令牌。 对于某些人来说这似乎很明显，但我不能很好地理解它，因为两个令牌 go 首先通过客户端。 （我只是在谈论纯粹的基础，而不是分裂令牌或幻像令牌或类似的东西）

有人可以请教我这个问题吗？

Answer 1

ID 令牌的主要目的是允许客户端创建基于用户 cookie 的 session。 之后，ID-token 没有任何用途； 令牌的生命周期通常很短，在某些设置中为 5 分钟。 ID 令牌通常描述谁被认证和关于用户的声明/事实。 理论上，客户端可以在创建本地 session 后丢弃 ID-token。

客户端通常还会收到一个访问令牌，它可以用来访问后端 API。 客户端还可以请求刷新令牌以在访问令牌到期时自动更新访问令牌。