客戶端是否應該創建自己的JWT

Question

允許第三方客戶端爲我們的資源API創建有效的JWT是否安全？我見過的所有示例都要求我們提供一個驗證服務器，以向授權客戶端發佈JWT。

Answer 1

我認爲你需要了解資源服務器（RS）和授權服務器（AS）之間的區別。

如果您相信第三方客戶端代表您執行令牌頒發和驗證，那麼將令牌處理委派給它們是完全正確的。

隨着中說，流量會是這樣：

1. 用戶代理訪問你的資源的端點。
2. 您的安全鏈檢查用戶是否已驗證會話，如果是，請繼續執行請求。
3. 如果沒有，將用戶重定向到帶有令牌的第三方認證端點。
4. 成功驗證用戶後，回調恢復資源訪問。
5. 如果失敗，請讓用戶訪問拒絕頁面。