JWT: правильный способ проверки требования AUD

Я занимаюсь управлением openId jws и не знаю, как проверить утверждение aud.

В деталях предположим, что у меня есть идентификатор приложения myapp.site.com, и я получаю aud, значение которого равно myapp.site.com|*|ANY. Я не нашел спецификаций для этого формата, но прочитал спецификацию aud в https://openid.net/specs/openid-connect-core-1_0.html#IDToken Я предполагал explode строку myapp.site.com|*|ANY, используя канал в качестве разделителя, а затем проверял, содержит ли этот массив аспектированный клиент идентификатор (например, myapp.site.com).

Мой вопрос: как насчет * и ANY? есть некоторые спецификации об этом формате? где я могу получить информацию?

Заранее спасибо,

Сим.


jwt audience openid verify specifications
person Sim Sca    schedule 04.08.2020    source источник

Ответы (1)


arrow_upward
1
arrow_downward

Это похоже на нестандартную вещь, которая не является стандартом, который я видел где-либо еще, поэтому я думаю, что вам решать, как его разобрать. При этом цель аудитории состоит в том, чтобы получатель токена был уверен, что токен адресован ему, а не кому-то другому. Таким образом, принятие любого токена, даже если подпись действительна, представляет собой угрозу безопасности.

person Tore Nestenius    schedule 04.08.2020
comment
Спасибо за ваш ответ. Я понимаю цель этой претензии, ведь я сомневался только в ее ценности, но я согласен, что это выглядит как обычная вещь [...], так что еще раз спасибо. - person Sim Sca; 12.08.2020