Openid Connect：在依赖方之间共享 id 令牌

Question

假设我们有 3 个依赖方和 1 个 OpenID 提供者（= 身份提供者）。如果用户想在第一个应用程序中登录，他将被重定向到身份提供者（通过授权代码流），第一个应用程序将在 fow 的末尾有一个 id 令牌和访问令牌。

如果用户在 10 分钟内想要登录到第二依赖方，他将被自动重定向到 IDP（通过授权码流），并且 IDP 将通过 cookie 识别用户。因此 IDP 不会要求用户进行身份验证，并且在流程结束时，第二个依赖方将拥有一个 ID 令牌和访问令牌。

我的问题：您能否确认第二个依赖方的 ID Token & Access Token 与第一个依赖方的 ID Token & Access Token 不同？

Answer 1

是的，它们应该不同。

在 ID 令牌中，aud 声明应包含令牌所针对的依赖方应用程序。

在访问令牌中通常有类似client_id 声明的内容，因此依赖方可以识别该令牌被颁发给哪个客户端 - 尽管不能保证这一点。

有关 OpenID Connect JWT 令牌的详细信息，请参阅JWT spec。