"應用服務器是否使用 jwt id 令牌來識別用戶，或者 jwt id 令牌是否旨在發送到資源服務器以識別用戶？"

Question

Oauth 可用於身份驗證、授權和委托。 Oauth 流程最終導致應用服務器接收訪問令牌（和刷新令牌）和 jwt ID 令牌（openidconnect）。

應用服務器可以使用訪問令牌將其傳遞給資源服務器，以代表用戶（委托）訪問資源。

應用服務器是否將Jwt id 令牌傳遞給資源服務器，以告知資源服務器當前用戶是誰？ 還是應用服務器使用 jwt id 令牌對用戶進行身份驗證以允許應用服務器知道當前用戶是誰？

Answer 1

ID 令牌僅證明用戶已通過身份驗證並提供用戶的個人資料數據。 它不包含任何可以證明用戶確實確認資源服務器允許對其資源執行某些操作的信息（即沒有 OAuth2 范圍）。

因此，僅將 ID 令牌傳遞給資源服務器並不能幫助它做出授權決定。 盡管資源服務器可以通過ID令牌查明用戶是什么，進而查明他有什么權限，但仍然不能證明用戶確實確認委托應用服務器對其資源進行某些操作。 . （即我有權做某事並不意味着我同意你代表我做這件事。）

因此，請始終將訪問令牌傳遞給資源服務器以做出授權決定。

您也可以參考此博客文章<\/a>，該文章也回答了您的問題。

Answer 2

根據規范，應用服務器不應將 id_token 傳遞給其他任何東西。

提供給資源服務器的數據應根據傳遞給授權服務器的范圍確定並包含在 access_token 中。

您可以將 access_token 發送到資源服務器，然后資源服務器調用 userInfo 端點。

請記住，這與最終用戶授權誰接收什么數據有關。

在https:\/\/github.com\/IdentityServer\/IdentityServer3\/issues\/2015<\/a>上對這些主題進行了相當長的討論