OpenID Connect中ID令牌过期时间的意图是什么？

Question

在OpenID Connect中，访问令牌有一个过期时间。对于授权代码流，这通常是很短的（例如20分钟），然后使用刷新令牌请求新的访问令牌。

ID令牌也有一个过期时间。我的问题是这样做的用意是什么？

任何ID令牌的过期时间小于刷新令牌的过期时间都意味着您最终将拥有一个过期的ID令牌，但却是一个有效的访问令牌。

• 给ID令牌一个比刷新令牌有效期更长的有效期，或
• 将其设置为与访问令牌相同的过期时间，并执行某些操作（什么？）过期时，或
• 只需在收到时使用客户端中的ID令牌，然后忽略之后的过期时间？

OpenID Connect规范只是说当验证ID令牌时,

"The current time MUST be before the time represented by the exp Claim."

它（可能）支持上面的第三种选择。

expires_in
     RECOMMENDED.  The lifetime in seconds of the access token.

一个相关的问题是，当您将授权代码交换给令牌时，相同的规范表示您可能会得到如下响应：

{
 "access_token": "SlAV32hkKG",
 "token_type": "Bearer",
 "refresh_token": "8xLOxBtZp8",
 "expires_in": 3600,
 "id_token": "eyJhbG[...]"
}

但在这种情况下，“expires_in”与什么有关？访问令牌、刷新令牌还是ID令牌？

（有关信息，IdentityServer3将此设置为访问令牌过期时间）。

Answer 1

我是在回答我自己的问题，因为我发现我的问题背后的一些假设是错误的，所以在这里更容易澄清，而不是重写问题。

ID令牌用于向客户机证明用户已通过身份验证，以及用户是谁。

当客户机接收到ID令牌时，它通常会执行一些操作，例如将其转换为ClaimsIdentity，并将其持久化，例如使用cookie。

ID令牌必须在使用时取消过期（这是应该的，因为它刚刚发出）。但在此之后,它就不再使用了,因此,如果它在用户仍有活动会话的情况下过期,也就无关紧要了。客户端拥有它所需要的身份验证信息，反过来，它可以选择自己的策略，在用户必须再次登录之前会话持续多长时间。

在提出这个问题时，我错误的假设是ID令牌和访问令牌应该一起使用，因此这两个令牌都需要有有效的过期日期。这是错误的，原因是多方面的：

• ID令牌仅用于向客户端进行身份验证（如上所述）。
• 访问令牌与客户端无关。它们用于访问资源，客户端只有在需要调用资源时才处理它们。
• 像独立的MVC或WebForms应用程序这样的东西只需要ID令牌。如果它没有调用外部资源，则没有任何可授予访问权限的内容，因此没有访问令牌。