我们真的需要在 OIDC 的隐式流中使用 id_token 吗？

Question

我正在开发一个 SPA 应用程序，我正在使用推荐的隐式流程，并且能够获取 access_token 和 id_token。由于我需要的不仅仅是个人资料信息，因此我创建了一个单独的端点来返回用户个人资料信息（以及特定于我们业务的所有其他信息），并且该端点受到保护，并且只能使用 access_token 作为访问不记名令牌。在 SPA 中获取 access_token 后，我立即调用此端点以获取所有用户信息（包括显示在 UI 上的名字、姓氏等）。如果返回的 id_token 和 access_token 对有任何问题，则用户配置文件信息端点调用将失败。那么，我真的需要验证 id_token 吗？因为我不依赖该令牌中的任何信息。

对于针对外部登录提供程序或授权代码流进行身份验证，验证 id_token 是有意义的，但就我而言，我不确定。

根据 OpenID 规范：

当使用隐式流程时，ID 令牌的内容必须以与第 3.1.3.7 节中定义的授权代码流程相同的方式进行验证，但本节中指定的差异除外. 1. 客户端必须使用 JOSE Header 的 alg Header Parameter 中指定的算法，根据 JWS [JWS] 验证 ID Token 的签名。 2. 必须检查 nonce Claim 的值，以验证它是否与 Authentication Request 中发送的值相同。客户端应该检查重放攻击的 nonce 值。检测重放攻击的精确方法是特定于客户端的。

Answer 1

为什么不在授权请求中使用response_type 参数。通过更改其值，您可以更改收到的授权响应内容。

身份文档提到了可能的response type 值。以下是他们documentation的摘录，

如您所见，如果您不希望 SPA 接收 id 令牌，您可以将 response_type 值设置为令牌。如果这样做，您只会获得一个访问令牌，这是由 OAuth 2.0 规范强制执行的。 （请参阅here 中的 OAuth 2.0 的隐式流 response_type 解释）。请注意，当您使用 response_type=token 时，您使用的是 OAuth 2.0（不是 OIDC）

只要您利用各自协议启用的功能，我认为您的方法没有任何问题。