ID 令牌和訪問令牌處理

Question

我讀了一點關於 OAuth 和 OIDC 協議的內容。 還有一個我覺得有點難以理解的概念：ID 令牌是由應用程序客戶端讀取的，而訪問令牌是由 API 讀取的。

但這並不止於此，我還閱讀了諸如 ID 令牌用於前端和訪問用於后端的內容。

對我來說這很令人困惑，例如：我使用 .net、前端和后端創建了一個 web 應用程序。 當我登錄時，客戶端同時擁有 ID 和訪問令牌。

此外，訪問令牌被發送到客戶端/前端看不到的服務器，以防止黑客竊取令牌。 對於某些人來說這似乎很明顯，但我不能很好地理解它，因為兩個令牌 go 首先通過客戶端。 （我只是在談論純粹的基礎，而不是分裂令牌或幻像令牌或類似的東西）

有人可以請教我這個問題嗎？

Answer 1

ID 令牌的主要目的是允許客戶端創建基於用戶 cookie 的 session。 之后，ID-token 沒有任何用途； 令牌的生命周期通常很短，在某些設置中為 5 分鍾。 ID 令牌通常描述誰被認證和關於用戶的聲明/事實。 理論上，客戶端可以在創建本地 session 后丟棄 ID-token。

客戶端通常還會收到一個訪問令牌，它可以用來訪問后端 API。 客戶端還可以請求刷新令牌以在訪問令牌到期時自動更新訪問令牌。