jwt - Azure AD - id_token 不刷新

Question

我正在使用 AAD 来锁定我的 azure web 应用程序和 api。我正在调用/.auth/me以检索经过身份验证的用户的令牌，然后使用id_token来对 api 的用户进行身份验证。将id_token在 1 小时后到期，这应该没问题，因为您可以致电/.auth/refresh获取新令牌。问题是“刷新”似乎只刷新access_token，refresh_token而不是id_token. id_token如果我打开一个新的隐身并重新验证，我可以获得新的唯一方法。

对此有什么想法吗？ id_token锁定 api 是可以接受的，不是吗？ access_token对此没有任何要求，所以我有兴趣使用id_token.

标签： jwtazure-active-directoryazure-web-app-service

Answer 1

是的，我们不能使用 refresh_token 来更新 id_token。如果你想刷新一个 id_token，我们可以重新认证 id_token。

在我看来，如果 id_token 仅用于在标准化结构 (JWT) 中传递用户身份，那么后端会将其视为普通 JWT 并忽略到期。它将假定被调用者已通过身份验证。