當通過refresh_token在Auth0，日本菸草國際公司（JWT ID）更新id_token沒有新id_token

Question

當登錄到Auth0：

POST https://my.auth0.com/oauth/ro 
{ 
    "client_id": "<client-id>", 
    "username": "me@gmail.com", 
    "password": "••••••••", 
    "connection": "<auth0-connection>", 
    "grant_type": "password", 
    "scope":  "openid offline_access jti email", 
    "device":  "<device-id>" 
} 
// Response 
{ 
    "refresh_token": "<refresh-token>", 
    "id_token": "<id-token>", 
    "access_token": "<access-token>", 
    "token_type": "bearer" 
} 
// id_token JWT payload 
{ 
    "jti": "3d4c5e97-3543-4c53-b46e-3aa965cd5a34", 
    "email": "me@gmail.com", 
    "email_verified": false, 
    "iss": "https://my.auth0.com/", 
    "sub": "auth0|<id>", 
    "aud": "<aud>", 
    "exp": 1481766419, 
    "iat": 1481730461 
} 

如果我指定我的範圍jti，返回id_token，這是一個智威湯遜，將包含jti。 Auth0推薦在智威湯遜擁有jti。 jti s唯一標識智威湯遜，可用於黑名單智威湯遜等事情。

出於某種原因，不過，如果我嘗試使用刷新標記獲得新的id_token：

POST https://my.auth0.com/delegation 
{ 
    "client_id":  "<client-id>", 
    "grant_type":  "urn:ietf:params:oauth:grant-type:jwt-bearer", 
    "refresh_token": "<refresh-token>", 
    "api_type":  "app", 
    "scope":   "openid offline_access jti email", 
    "device":   "<device-id>" 
} 
// Response 
{ 
    "token_type": "Bearer", 
    "expires_in": 35958, 
    "id_token": "<id-token>" 
} 
// id_token JWT payload 
{ 
    "email": "me@gmail.com", 
    "email_verified": false, 
    "iss": "https://my.auth0.com/", 
    "sub": "auth0|<id>", 
    "aud": "<aud>", 
    "exp": 1481766678, 
    "iat": 1481730720, 
    "azp": "<azp>" 
} 

即使我指定我的範圍jti，返回不包含jti的id_token。

這是一個錯誤？請幫忙。

Answer 1

jti聲明不是默認生成或包含的聲明。如果你看到的是行爲的最有可能的解釋是，你有一個自定義規則是做以下：

function (user, context, callback) { 
    user.jti = require('uuid').v4(); 
    callback(null, user, context); 
} 

這意味着，當你包括價值被包含在最終標識的jti的範圍令牌，因爲它是從該屬性獲得的。在通過授權進行時，jti聲明似乎得到了特別處理，刷新時忽略它。不鼓勵使用委託進行刷新，但是，如果您想繼續使用該方法，並且只需要JWT中的唯一標識符，那麼如果您使用非保留聲明名稱，則可以解決此問題。例如，在一條規則中：

function (user, context, callback) { 
    user.myjti = require('uuid').v4(); 
    callback(null, user, context); 
} 

然後在兩個請求中都包含myjti作用域;一個快速測試表明，這也適用於使用委託。