Open ID Connect - 最适合用于身份验证的令牌

Question

我正在尝试为我的系统实现open id connect authentication。

我的系统概述

1 - 移动应用程序，云和服务器。

2 - 用户在移动客户端中输入凭据，客户端将必要的令牌发送到云端。

3 - Cloud将作为代理工作并将令牌发送到服务器，服务器将对用户进行身份验证。

对于这种情况，什么应该是认证的理想标记？ ID令牌或访问令牌？

是否有任何规范或可靠来源提及选择正确令牌的最佳做法/标准？

我正在尝试使用ID令牌，我遇到了这个问题 - Open ID connect for native applications, i need get a valid ID token without prompting the user after the initial authorization?

Answer 1

访问令牌是一个不透明的序列，允许其持有者在给定的一段时间内使用给定的权限集调用API。

ID令牌包含有关用户的简要详细信息以及有关其附加的令牌的一些元数据。

与支持openid connect的身份提供商合作的移动应用程序将使用具有“id_token”的混合流程。或者＆＃39; id_token令牌＆＃39;作为回应类型。

我相信在你的情况下我会问的问题是：

1. 此特定实现中的auth端点的id_token包含哪些声明？它只是主题吗？
2. token_id中的信息是否足以用于移动应用程序？在用户标识符之上需要哪些用户信息？
3. 应用程序是否应在身份提供程序服务器api上进行后续身份验证调用？

的Eyal