使用JWT的Oauth 2.0授權

Question

我在使用JWT令牌的web api 2授權中實施，我對此空間很陌生。 我堅持產生的目的AudienceId and AudienceSecret爲什麼我需要它們？

Answer 1

從OAuth的角度來看，令牌是不透明的對象，不包含「觀衆」聲明。如果您使用JWT標記，那麼您可以參考JWT specificacion RFC7159

4.1.3。 「AUD」（目標對象）如權利要求

的 「AUD」（觀衆）根據權利要求識別收件人的JWT是 用於。旨在處理JWT的每個負責人必須在觀衆聲明中標識自己的價值。如果處理索賠的主體 在此索賠存在時沒有用 「aud」索賠中的值標識自身，那麼JWT務必拒絕 。在一般情況下，「aud」值是一個數組敏感字符串，每個字符串都包含一個StringOrURI值。在JWT擁有一個受衆的特殊情況下，「aud」值可能是一個包含StringOrURI值的單個區分大小寫的字符串。 。觀衆價值的解釋通常是特定於應用程序的。 使用此聲明是可選的。

aud的預期用途是識別令牌的預期收件人。它的使用是可選的，取決於應用程序的上下文。可能是你的oauth2服務器的文件中指定的目的

也看看這個詳細answer這個話題