在IdentityServer3中，如果还请求访问令牌，为什么所有身份声明都被排除在id_token之外？
在IdentityServer3中，如果还请求访问令牌，所有身份声明都被排除在id_token之外的原因是为了提高安全性和减少令牌的大小。id_token是一个JWT（JSON Web Token），用于在客户端和资源服务器之间传递身份信息。它包含了用户的身份声明，例如用户ID、姓名、电子邮件等。
访问令牌用于访问受保护的资源，它通常更长且包含更多的信息。为了减小令牌的大小并提高性能，IdentityServer3将身份声明排除在访问令牌之外。这样可以确保访问令牌只包含必要的信息，减少网络传输的数据量。
此设计决策还有助于提高安全性。身份声明通常包含敏感信息，例如用户的地址、电话号码等。将这些敏感信息排除在访问令牌之外可以减少令牌泄露的风险。如果攻击者能够获取访问令牌，但没有身份声明，他们将无法访问用户的敏感信息。
对于需要访问身份声明的场景，可以使用OpenID Connect的UserInfo端点来获取用户的身份信息。客户端可以使用访问令牌向UserInfo端点发起请求，并获得用户的身份声明。
腾讯云提供了一系列与身份认证和授权相关的产品，例如腾讯云身份认证服务（CAM）和腾讯云API网关。CAM提供了身份管理、权限管理和资源访问控制的功能，可以帮助开发者实现安全的身份认证和授权机制。腾讯云API网关则提供了API访问控制、流量控制和安全防护等功能，可以保护API接口的安全性。
更多关于腾讯云身份认证服务（CAM）的信息，请访问：腾讯云身份认证服务（CAM）
更多关于腾讯云API网关的信息，请访问：腾讯云API网关
相关·内容
在定制实现时，我一直在研究IdentityServer3的源代码。我在尝试将声明添加到id_token时遇到问题。我偶然发现了这段代码。AccessTokenToHash = accessTokenValue, };
在此类中设置IncludeAllIdentityClaims属性会影响程序流到达后添加声明的方式。我的问题是，<em
浏览 7提问于2017-01-03得票数 1
回答已采纳
Mvc混合应用程序除了名称、given_name和family_name (我在访问令牌中将它们设置为访问令牌)之外，不会从ProfileService获得额外的声明。以下是在GetProfileDataAsync of ProfileService结束时发出的索赔下面是我在id_token中得到的信息：丢失了我在ProfileService上设置的图片<e
浏览 7提问于2017-12-04得票数 4
现在，我面临一个要求，即此应用程序应该代表用户访问多个(Web)API。这些API是使用角色保护的。我不确定该如何处理这个问
浏览 4提问于2017-06-28得票数 0
我如何与南希进行IdentityServer3认证？
如果我对UI视图或RESTFull API调用进行身份验证(并授权
浏览 5提问于2015-11-08得票数 2
回答已采纳
我正在使用下面的代码成功地从我的MVC web应用程序中获得一个令牌。然而，我不知道如何收回我补充的索赔。是否应该在与我的令牌相同的响应中返回它们？谢谢!options.TokenEndpointPath = "/connect/token";增加索赔：
identity.AddClaim("custom_claim", "value", "token id_tokenawait u
浏览 2提问于2016-05-29得票数 1
回答已采纳
我使用IdentityServer3作为OIDC/OAuth服务器，我查看的示例为每个请求创建了一个HttpClient，并使用扩展方法设置了承载令牌：我有一个调用ASP.NET web API的ASP.NET Web应用程序，并且我已经对它们进行了配置，以便在调用时，即在配置OpenId连接身份验证时，客户端标识流到API：
OpenIdConnec
浏览 4提问于2016-10-05得票数 2
回答已采纳
我正在用OIDC和OAuth 2.0构建一个系统(使用Auth0)，我不知道如何正确地使用id_token和access_token。或者更确切地说，我对在我的设置中为各种服务分配哪些角色感到困惑。我有一个完全静态的前端应用程序(单页应用程序，HTML + JS，没有后端)，它确保用户使用针对Auth0的隐式流进行身份验证。然后，前端应用程序从我也正在构建的API中获取数据。如果我的前端和后端API都可以被认为是客户端，我认为使用id_token作为从我的前端到后端的<
浏览 6提问于2017-10-11得票数 49
为什么在使用隐式或任何其他授权类型时，身份令牌声明会有差异？这是按规范进行的，还是我做错了什么？任何帮助理解这种行为的人都将不胜感激。当我将隐式授权类型与id_token响应一起使用时，我会从身份服务器保护的客户端获取所有添加到作用域中的声明。但是当我使用混合授权类型或代码授权类型时，身份令牌中缺少大多数声明(电子邮件和电话)。但我可以在
浏览 3提问于2019-12-17得票数 0
2回答
我是否正确地认为向授权端点发出了身份验证请求，然后授权端点使用URL片段中的授权代码、id令牌和令牌进行响应？
如果是这样的话，如果不能将授权代码交换为访问和id令牌，返回授权代码又有什么意义呢？3.3.2.5.成功的身份验证响应当使用混合流时，身份验证响应以与第3.2.2.5节定义的隐式流相同的方式进行，但本节中指定的差异除外。这些授权端点结果以下列方式使用：access_token OAuth
浏览 0提问于2018-08-24得票数 2
在我们的web应用程序(ASP.NET)中，我们通过授权代码流使用OpenID连接：
授权代码是POSTed返回到我们的web应用程序中的一个页面然后，我们的web应用程序使用授权代码从身份服务器检索刷新令牌、id令牌和访问令牌。它们以cookie的形式存储在客户端上(将HttpOnly标志设置为true)。当用户访问页面时，我们验证
浏览 1提问于2018-11-12得票数 2
回答已采纳
iprofileservice接口已经实现，这样GetProfileDataAsync就可以从用户存储中为用户检索用户声明。但是，我反复阅读过()，您应该尽可能少地将声明放入身份令牌，然后使用userinfo端点来检索其他声明。链接的文章似乎暗示这
浏览 2提问于2017-09-12得票数 2
回答已采纳
如果是，客户端能否只知道请求的资源作用域的用户角色(而不是所有作用域的所有角色)。就我所理解的概念而言，如果我通过UserInfo端点请求有关用户的声明，我将接收被请求标识范围中列出的claimTypes过滤的声明。这意味着，如果客户端请求角色作用域(带有角色声明类型的标识范围)，UserInfo端点将响应所有角色声明，包括其他
浏览 1提问于2017-04-24得票数 7
在对OAuth2授权服务器进行身份验证之后，该服务器使用response_type=code与scope=openid email一起支持response_type=code，调用令牌端点应返回id_token说明书上写着：
当使用导致发出访问令牌的UserInfo值时，配置文件、电子邮件、地址和电话作用域值所请求的声明将从response_type端点返回，如第5.3.2节所述。但是，当不发出访问令牌( response_typ
浏览 0提问于2018-06-07得票数 4
为此，我在OAuth2上使用OAuth2连接( OIDC )，因此流量是相当标准的(请访问我的应用程序->重定向到OIDCP的登录页面->登录/授予访问->，用代码->返回到我的应用程序，交换access我只使用外部提供程序进行身份验证(而不是授权)，但是我收到了两个令牌(access和id令牌)。我是否正确地理解了使用access令牌只是为了通过OIDCP提供的一些用户信息端点获得更多关于用户的信息，并且只有在<em
浏览 0提问于2020-04-06得票数 2
options.ClientSecret = Configuration["Auth:ClientSecret"];
options.ResponseType = "id_token但是，当我像这样修改responseType时，options.ResponseType = "id_token token";的声明是这样的(只发出了少量声明)： ? 如果我想在用户登录时同时获得完整的声明列表和
浏览 20提问于2019-03-12得票数 1
单页应用程序(SPA)仅用HTML和Javascript编写，试图访问受保护的API端点(本例中为ASP.NET Web v2 )。返回HTTP 401，因为API端点受到保护
SPA再次尝试访问API端点，但在报头中传递承载令牌，并且允许访问。我想直接使用Id
浏览 3提问于2016-07-14得票数 0
回答已采纳
我一直在研究IdentityServer3，我注意到Access Token (和身份令牌)在Implicit flow的情况下变得太大了(高达3000+字符)，而同一服务器在资源所有者流中返回大约20-30个字符的访问令牌。在我的视觉工作室解决方案中
控制台应用程序(使用资
浏览 4提问于2015-06-19得票数 1
回答已采纳
1回答
我已经设置了身份服务器3，成员身份重新启动数据库作为我的授权服务器，我还开发了一个Web项目，它将被一个javascript web应用程序访问。用户的角色以声明的形式存储在数据库中(例如，“角色”、“admin”的键值)。此时我如何执行基于角色的授权？id_token似乎包含了这些声明，但access_token却没有。当按照Api请求发送access_token时，api如何知道发送用户具有哪些角色？在web a
浏览 0提问于2015-10-14得票数 0
回答已采纳
如果所有标准控制:状态，PKCE，Redirect_URI确认等到位，以防止auth_code泄漏或注入。那么，攻击者可以合理地破坏流的唯一方法是，如果他们能够操作初始请求。这将允许攻击者拦截响应，并将auth_code交换为和id_token。然后，他们将能够将与id_token关联的用户模拟到外部资源(后端服务器)。这将需要一个能够干扰初始请求(恶意浏览器应用程序)的受损应用程序，或者一个完全模仿有效应用程序的恶意本地应用程序。问题：来自公共本地桌面应用程序的有效签
浏览 0提问于2021-10-01得票数 1
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM活动推荐
腾讯云开发者
