自定义声明包含在隐式流中，但不包含在PKCE流中

Question

由于某种原因，当使用授权代码流（response_type=code）时，我的令牌配置没有得到尊重。id和auth令牌中都缺少组织和displayName。

当我使用隐式授予流（response_type=id_token）时，它按预期工作（组织和displayName存在于id令牌中）。

配置包括在下面。原因是什么？

  <UserJourneys>
    <UserJourney Id="DefaultSignin">
      <OrchestrationSteps>
        <OrchestrationStep Order="5" Type="SendClaims" CpimIssuerTechnicalProfileReferenceId="JwtIssuer" />
      </OrchestrationSteps>
    </UserJourney>
  </UserJourneys>

  <RelyingParty>
    <DefaultUserJourney ReferenceId="DefaultSignin" />
    <TechnicalProfile Id="JWTSignin">
      <DisplayName>JWT Sign In</DisplayName>
      <Protocol Name="OpenIdConnect" />
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="signInName" PartnerClaimType="sub" />
        <OutputClaim ClaimTypeReferenceId="displayName" />
        <OutputClaim ClaimTypeReferenceId="organization" />
      </OutputClaims>
      <SubjectNamingInfo ClaimType="sub" />
    </TechnicalProfile>
  </RelyingParty>

Answer 1

原因是我有Protocol=None，我应该有Protocol=OpenIdConnect

两件奇怪的事：

• 那么为什么它对隐式流起作用呢？
• 我肯定这不是我发明的，它必须来自自定义策略启动包或其他MSFT示例之一

       <TechnicalProfiles>
         <TechnicalProfile Id="JwtIssuer">
           <DisplayName>JSON Web Token Issuer</DisplayName>
-          <Protocol Name="None" />
+          <Protocol Name="OpenIdConnect" />
           <OutputTokenFormat>JWT</OutputTokenFormat>
           <Metadata>
             <Item Key="client_id">{service:te}</Item>

Answer 2

•当您使用授权代码流，即response_type=code时，客户机id和授权令牌中缺少组织和显示名称，因为在授权代码流中，访问令牌通过安全连接通过HTTPS SSL和TLS加密传递，因为它是由OAuth提供商发布的，而OAuth提供商向我们提供了授权，不可能在URL参数中直接传递访问令牌，因为URL参数是HTTP请求的一部分，而HTTP请求又可能成为中间人攻击的牺牲品。因此，当您使用授权码流传递令牌时，将提供一个中介一次性使用“授权码”，只有合法的接收者才能交换（因为您需要客户机密），并且该代码对于通过未加密的交易拦截请求的潜在黑客将是无用的（因为他们不知道客户的秘密）。

•同样，在隐式流中，关于授权令牌的通信不太安全，因为可能存在潜在的攻击向量，例如在重定向时通过劫持客户端网站的IP地址欺骗域，因为隐式流中的访问令牌直接作为散列片段传递，而散列片段虽然可以读取，但不属于URL参数的一部分通过在浏览器的客户端运行java脚本，您可以在授权代码流中通过隐式流访问令牌散列来读取颁发者的数据，要读取的数据旨在由拥有HTTPS SSL连接证书私钥的客户端读取，因为即使您访问令牌，它也由授权码保护，授权码应通过客户端ID/客户端密码解密，然后仅通过HTTPS SSL连接解密。

•因此，授权代码流中未显示详细信息，因为令牌被截获，用于通过HTTPS授权客户端的访问连接。

有关更多信息，请查看以下链接：-

为什么OAuth2中有一个“授权代码”流，而“隐式”流工作得这么好？

https://aaronparecki.com/oauth-2-simplified/