authentication - Oauth 身份验证过程中的 nonce 函数是什么？

Question

我正在开发一种软​​件，其中使用带有 Oauth2 的 Microsoft Azure AD 完成登录过程。随机数在此过程中是可选的，成功登录后我会收到一个有效期为一小时的 token 。

我无法理解 nonce 在此过程中的功能，因此我没有使用它。因此我的身份验证不那么安全吗？在此过程中添加随机数有什么好处？

Answer 1

Nonce 绑定(bind)客户端和 token ，防止 token 重放攻击。

nonce - String value used to associate a Client session with an ID Token, and to mitigate replay attacks

考虑您的 token 端点和从授权服务器接收 token 响应。作为客户端，您如何验证 ID token 不会被恶意方重播？这就是 nonce 的作用。

您在授权请求中添加此参数。在 token 响应中，您将获得 ID token 。当您验证 token 时，您会验证 token 内的随机数(JWT 声明)。

更多来自 this answer

Also, depending on the flow type, nonce can be a mandatory parameter. The implicit flow and hybrid flow mandate nonce value