Access Token 包含了几乎所有来自 Identity Token 的信息

Question

以下令牌是在向 Azure AD B2C 发出初始令牌请求时返回的。 access_token 包含id_token 包含的大部分信息。

我的问题是：

1 既然access_token 包含了id_token 所包含的大部分信息，那么access_token 可以在什么场景中代替id_token？什么场景必须使用id_token 而不是access_token？

2 关于使用access_token 和id_token 的一般规则是什么？

初始令牌请求的结果

{
"access_token": "access_token",
"token_type": "Bearer",
"expires_in": "3600",
"refresh_token": "refresh_token",
"id_token": "id_token"
}

以下是各个令牌的解码令牌：

请注意access_token 包含来自id_token 的大部分信息，包括用户信息。

access_token

{
"iss": "url",
"exp": 1550539339,
"nbf": 1550535739,
"aud": "audience ",
"idp": "LocalAccount",
"sub": "guid",
"name": "user@email.com",
"emails": [
"user@email.com"
],
"tfp": "B2C_1_ROPC_Auth",
"ver": "1.0",
"iat": 1550535739,
"azp": "guid"
}

id_token

{
"iss": "url",
"exp": 1550539339,
"nbf": 1550535739,
"aud": "audience ",
"idp": "LocalAccount",
"sub": "guid",
"name": "user@email.com",
"emails": [
"user@email.com"
],
"tfp": "B2C_1_ROPC_Auth",
"ver": "1.0",
"iat": 1550535739,
"auth_time": 1550535739,
"at_hash": "access_token hash"
}

更新

对上述问题 1 的进一步说明： 由于access_token 包含id_token 包含的大部分信息，是否可以使用access_token 代替id_token？也就是说，什么时候必须使用id_token而不是access_token？

Answer 1

我以google为例，

1) 假设你想实现social login，你主要需要email、'first_name'、'last_name'等字段。这些字段大多在id_token 中可用。所以id_token 非常适合authentication。

2) 稍后您需要获取登录用户的google contacts。在这种情况下您无法获取id_token 中用户的contacts。这就是access_token 的来源，尽管您在access_token 中没有contacts，但您拥有获取联系人的所有权限。

Answer 2

ID 令牌用于身份验证。它表示为 JSON Web 令牌 (JWT)，其中包含有关身份验证事件的声明，包括资源所有者的身份信息。 ID 令牌适用于客户端应用程序（单页应用程序），其 aud（受众）声明包含客户端应用程序的 OAuth 2.0 client_id。

访问令牌旨在供客户端访问资源所有者所拥有的资源。它表示为 JWT（例如 Azure AD B2C 将访问令牌表示为 JWT）或不透明令牌。访问令牌适用于资源应用程序（例如 API 应用程序），其 aud 声明包含资源应用程序的 OAuth 2.0 client_id。