oauth-2.0 - 可以在两个自定义服务之间转发 JWT 吗？

Question

我正在使用 Azure AD 隐式流在 SPA 和 WebApi 之间进行身份验证。

我想知道是否可以/保存从 SPA 重定向到我自己的中间服务以及使用 BearerToken，然后从那里再次将 Bearer 令牌转发到 WebApi。

标签： oauth-2.0jwtopenid-connect

Answer 1

如果它们属于同一安全域（即受同一实体控制），原则上这不是问题。您应该一如既往地采取预防措施，防止令牌泄漏/暴露。