OWIN Cookie 和不记名令牌是否相同？

Question

当我调用 OWIN /token 端点时，我会在响应中获得承载令牌和具有令牌的 set-cookie 标头。这些令牌是否相同？如果不是，我如何使它们相同？

Answer 1

不，它们不一样，您收到的令牌是访问受保护 API 所需的访问令牌（APIs 属性为[Authorize]）并包含您要在其中编码的所有声明。

当您调用 /token 端点时，我没有看到在 cookie 中返回的令牌。无论如何，您通常依靠令牌或 cookie 来保证安全性，而不是两者兼而有之。