Id 令牌与访问令牌

Question

Auth0 声称我应该始终使用访问令牌来保护 API。

如果我可以控制我的客户端应用程序和我的后端 API - 为什么验证 id 令牌作为我对我的 API 的授权是错误的？使用非对称密钥签名的 ID 令牌似乎是安全的 - 我不明白这比访问令牌更不安全。

Answer 1

与其说是安全，不如说是关于可用性和语义。 id_token 应该代表一个身份验证事件：它是短暂的，并且（主要）设计为仅供一次性使用，这些属性并不能使其成为 API 使用的良好令牌。