OAuth2 OIDC，如何/何时将 JWT 提供给浏览器？

【问题标题】：OAuth2 OIDC, How/When to give JWT to the browser?OAuth2 OIDC，如何/何时将 JWT 提供给浏览器？
【发布时间】：2021-09-24 16:56:07
【问题描述】：

我正在实施 SSO 解决方案。有一个关于authorization code flow 授权类型的一般问题，如here 所述。

用户登录后，客户端应用程序将获得一个 ID 令牌。但是我找不到任何地方应该如何/何时将 JWT 提供给浏览器，以便它可以在请求标头中为任何后续请求设置不记名令牌？是标准中没有规定的还是我误解了什么？

【问题讨论】：

标签： oauth-2.0 single-sign-on openid-connect

【解决方案1】：

浏览器不会自动设置Authorization 请求头。您必须使用 Javascript 自己完成。这意味着带有此类标头的请求必须是 AJAX 调用。如果您想通过浏览器发送常规请求（通过导航到 URL），那么您必须使用 cookie，因为它们将由浏览器自动添加。（您可以将令牌的值保存在 cookie 中，并让后端读取 cookie 而不是 Authorization 标头）

【讨论】：

谢谢！这就是我认为需要做的事情。