JWE 如何處理 OIDC 中的請求對象

Question

我想為 OIDC 中的Request Object使用加密的本地 PASETO 令牌，但事實證明我需要將密鑰存儲在某處以解密此請求對象，並且它必須是未加密/未散列可用的，因為它需要Request Object解密。 所以我必須將它作為純文本存儲在數據庫中？ 相當危險。 所以我開始想知道 JWE 是如何工作的，但是https://datatracker.ietf.org/doc/html/rfc7516#section-5.1中關於 JWE 加密的文檔讓我很困惑。 JWE 是否解決了將對稱密鑰作為純文本存儲在數據庫中的問題，還是有其他方法？

Answer 1

這里有幾種不同的解決方案，可以解決不同的問題：

加密的 JWT

當應用程序想要防止信息泄露時，可以使用這些。 它們由授權服務器發布，授權服務器使用公鑰對其進行加密。 然后應用程序有負擔維護私鑰來解密它們。 有關示例用法，請參閱加密的 ID 令牌。

請求對象

這些通常用於防止man in the browser篡改。 該應用程序只需要處理它已經可以訪問的公鑰，因此該解決方案更易於管理。 如本摘要所示，使用了PAR和JARM等較新的標准。

智威湯遜信息披露

如果您想避免在訪問令牌 JWT 中泄露敏感數據，那么通常的技術是僅將不透明的訪問令牌返回給 Internet 客戶端。 這比加密更容易管理。 請參閱Phantom Token Pattern了解其工作原理。

概括

我通常會避免將密鑰管理引入應用程序。 旨在改為在授權服務器中進行管理。