openid-connect - 为什么 IdentityTokenLifetime 默认为 300 秒？

Question

也许我应该问一下 Identity token 的预期用途是什么。我认为它用于识别用户并且它可以传递给其他服务(例如后端服务)并且该服务使用 id_token 来验证它是一个有效用户？但我没有看到任何当前可用的端点来验证 id_token。如果不是，应该将什么从一个服务传递到另一个服务来验证用户？

接受 id_token 参数的唯一端点是 End Session Endpoint，它作为 id_token_hint 传递。但在那种情况下，为什么 IdentityTokenLifetime 默认仅为 300 秒？我不希望用户在 300 秒内结束 session 。

Answer 1

身份 token 是一次性 token 。

它包含用户的身份和身份验证元数据。一旦 token 被验证，它就可以(理论上)被删除。只需选择您感兴趣的声明即可。

在这种情况下，您希望在注销期间保留身份 token 以用于特殊功能。

身份 token 是 从不路过。这就是访问 token 的用途。