【发布时间】：2016-01-24 14:35:48
【问题描述】：
当我创建访问令牌的at_hash 时，是否应该对哈希进行加盐处理？如果是，如果客户不知道所使用的盐，如何验证？不幸的是，specs 对此并没有多说。
【问题讨论】：
-
您还需要储存盐。但是“客户端”，您是在构建客户端/服务器应用程序吗？如果是这样，那么客户端永远不应该验证这一点，它应该是执行此操作的服务器。
标签： jwt openid-connect
【发布时间】：2016-01-24 14:35:48
【问题描述】：
不，哈希不应加盐。请记住，at_hash 将access_token 绑定到id_token 并保护它，因为id_token 已签名。 access_token 的值与需要加盐的密码完全不同，因为它的字符更少且随机性更小。
【讨论】：