IdToken 未使用 AzureAD 签名

Question

我正在使用 Azure AD Connect 通过 OpenId Connect 进行身份验证和许可。

我不明白为什么我会收到来自 Azure 的 JWT IdToken without signature 和 AccessToken with signature。这可能是由于为 IdToken 设置了 "alg=none" 属性。但为什么不也签署 IdToken？

Answer 1

是否直接从 Azure 的令牌端点获取 ID 令牌？如果是这样，则通信是安全的并且主机通过 TLS/HTTPS 进行身份验证，因此无需签名或完整性保护 ID 令牌，它仅供您（您的客户）使用。