OAuth 2.0 上声明请求参数的用途是什么？

Question

OpenID 规范 5.5 解释 RP 可以使用声明请求参数请求声明。 http://openid.net/specs/openid-connect-core-1_0.html#ClaimsParameter

这个功能的目的是什么？

由于用户能够设置声明，此功能是否会造成安全漏洞？

例如用户可以将浏览器上的 URL 修改为：

https://op.example.com/authorize?
response_type=code
&client_id=client
&redirect_uri=https://client.example.com
&scope=openid
&claims={“userinfo” : {“sub”: { “value” : “superuser”}} , “id_token” : {“sub”: { “value” : “superuser” }}}

如果 OP 实现了这个功能，那么 OP 会将该声明放入 id 令牌和用户信息中。

Answer 1

此功能的目的是请求声明，可能具有特定的期望值。这并不意味着 RP 能够设置声明值。相反，OP 应该验证哪些请求的声明和值与经过身份验证的用户匹配，并仅返回那些有效的声明。