Azure Active Directory session 状态

Question

我正在使用 Azure Active Directory 对我的用户进行身份验证，这是我将用户重定向到的 URL:

https://login.windows.net/common/oauth2/authorize?response_type=id_token&redirect_uri=https%3A%2F%2Ftest.com%2F&client_id=CB08A120-12BD-11E4-8143-DA6DD34483DE&scope=openid&response_mode=form_post&nonce=50b4146c-585c-49e5-a78e-56d9685c56f2

我得到的回复以帖子的形式出现，并具有以下两个参数:

id_token=*
session_state=*

但是，我不太确定 session_state 是什么。我尝试查看文档，但似乎找不到好的答案。我在文档中找到 session_state 的位置是 here和 here ，但两者都没有多大帮助。我是否应该将 session_state 保留在 cookie 中并将其发送到以后向 Azure 发出的每个请求？或者它的目的是什么以及正确的处理方法？

Answer 1

它标识 Azure AD STS 上经过身份验证的 session 。

第一次交互式登录后，如果您重新发出 OpenIDConnect SSO 请求，系统将不会提示用户再次登录 - 但您的应用程序将取回新的 token ，但 session_state 将与以下内容相同在之前的回复中。但是，在您的 SSO 请求中，如果您添加 &prompt=login，系统将提示用户再次登录，这一次您返回的 session_state 将有所不同。

大多数应用程序只会忽略该值 - 那些想要跟踪用户确实重新验证的应用程序会关心。

希望这有帮助。