如果访问令牌中的 "iss" 字段是 HTTP URL 是否安全？

Question

我在 API 上为客户端添加了不记名令牌身份验证。在发送到 API 的访问令牌中，颁发者是这样的：http://[some-domain.com]/adfs/services/trust.

当此 URL 使用 HTTP 而不是 HTTPS 时，身份提供者是否配置不正确或不安全？或者这只是一个简单的字符串，不用于发出请求，因此它是否表示 HTTP 无关紧要？

Answer 1

iss声明是一个字符串或URI，这意味着接收令牌的服务将使用它来确定是否信任令牌通过比较 它配置为信任的发行者列表的值。

字符串比较应遵循RFC 3986

中描述的规则

该值不是 URL，因此该值不指向网络上的任何实际资源。

有关 JWT 和标准声明的更多信息，请参阅 RFC 7519。