ID令牌與訪問令牌

Question

Auth0聲稱我應該始終使用訪問令牌來保護API。

如果我可以同時控制我的客戶端應用程序和后端API，那么為什么將id令牌驗證為我對API的授權為什么會出錯？ 用非對稱密鑰簽名的ID令牌似乎很安全-我不知道這比訪問令牌安全性低。

Answer 1

與其說安全，不如說是可用性和語義。 id_token應該表示一個身份驗證事件：它是短暫的，並且（主要）僅設計為一次性使用。這些屬性不能使其成為API使用的良好令牌。