angular - 是否应该在浏览器中验证 OpenID 连接 ID token ？

Question

当我在写一个关于 OpenID connect 和 Angular 的博客系列时，我正在使用一个名为 angular-auth-oidc-client 的用于 OpenID connect 的 Angular 库。该库用于实现 OpenID 连接隐式流，并对 ID token 和访问 token 进行客户端验证。

我的问题是:

1. 由于 Angular 应用存在于浏览器中，其中包含可以被恶意用户篡改的 javascript 文件，例如，嗅探了另一个用户的访问 token ，以禁用 ID token 验证，在浏览器中进行 ID token 验证不是没有意义的吗？我知道客户端使用 ID token 来验证身份验证，但是在浏览器中完成此操作是否提供任何安全性？

   1. 在请求资源 API 之前不在浏览器中验证 ID token ，而是使用前端服务器验证 ID token 是否是更好的实现方式？

我的问题不是关于 OpenID 连接的规范，而是关于使用浏览器进行身份 token 验证。我创建了一篇博客文章 here ，我在这里解释了 OpenID 连接的实际水平。

谢谢。

Answer 1

ID token 是一种安全 token 。您的客户端(Angular 应用程序)应验证 OIDC 提供商发送的任何 ID token 以验证用户身份。如果未完成此验证，您将通过对恶意用户进行身份验证将您的 API 暴露于安全问题。请引用this specification有关 ID token 的详细信息。

访问 token 也是安全 token ，但您的客户端不应执行任何验证并“按原样”使用它。 字符串通常对客户端不透明。访问 token 的验证由资源服务器执行(例如，使用 Introspection Endpoint 或检查独立的访问 token )。请引用this specification有关访问 token 的详细信息。