如何解决Azure AD OpenId连接集成
我目前正在在Java应用程序上集成OIDC的Azure广告,我使用的是MSAL4J https://search.maven.org/artifact/com.microsoft.azure/msal4j,下面是Microsoft提供的示例:
https://github.com/Azure-Samples/ms-identity-java-webapp/tree/master/msal-java-webapp-sample
我只希望OpenID连接进行身份验证,而不希望accessToken。我的用例id_token应该足够
请问我是否必须显式验证签名,我看到Msal4j不验证签名。
请让我知道验证id_token是否是登录用户的安全过程。
解决方法
建议Web应用程序(“机密客户端应用程序”)验证id token
,但对“验证多少”没有严格要求。如果您的Web应用程序通过来自身份提供商的https连接接收到令牌,则您相对安全。不过,至少(在验证签名-更多信息here之后),您应该验证aud
和nonce
声明,它们代表令牌的预期接收者以及令牌是否为正在分别播放。在documentation中有更多详细信息。
编辑:有关MSAL4J是否验证令牌的更正声明。
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。