是否可以在没有 cookie 的情况下进行隐式流身份验证？

Question

我正在开发同时使用 ID Server 3/4 的 .NET Framework 和 .NET Core 的项目（当然也分别使用 ID Server 3/4），并且我已经了解隐式流程及其对 Javascript 客户端的工作方式。我确实注意到它使用了 cookie，我认为这就是为什么会发生很多重定向等等。

但事后看来，这让我想知道如果我们当时知道隐式流但不使用 cookie 并且仅依赖会话存储，那么以前的项目是否会更好。那有可能吗？

Answer 1

使用隐式流并不意味着您必须使用 cookie 来存储用户数据/令牌。

是的，对于隐式客户端，您可以将令牌存储在会话存储中。这是 oidc-client 等流行客户端库的默认设置。

请注意，通过这种方法，用户数据和令牌对浏览器、用户和您网站中运行的任何其他 JS 都是可见的。