Azure Active Directory JWT aud 值

Question

在 AAD 的 JWT 中，有一个键“aud”。 https://jwt.io/ ，说是“观众”。 ( token 的用途或用途)'。我的问题是，aud 值是否特定于网站 - 我可以检查 aud 并期望它与检查 token 是否适用于我的特定网站相同吗？

Answer 1

在 Azure AD 中，受众值始终指示 token 所针对的资源。

您可以使用 API 的客户端 ID 或应用程序 ID URI 获取访问 token 。你使用的将是 token 中的受众。因此，如果您制作 API，您应该检查受众是 API 的客户端 ID 或应用程序 ID URI。您可以确定，如果 token 适用于您的 API，那么它始终是其中之一。

编辑:以下信息不正确。如果我知道您的 API 标识符 + 您的租户 ID，我可以使用客户端凭据获取您的 API 的访问 token ! token 不会包含范围或角色，它不能。因此，检查是否存在有效的委派权限(也称为范围)或有效的应用程序权限(在角色声明中)至关重要。

THIS IS WRONG: If I tried to acquire an access token using your API's identifier from my AAD tenant, it would not give me a token. Any app that passes an access token with the correct audience had rights to call your API when it acquired the token.