Vanliga påståenden som finns i Azure AD OAuth -tokens inkluderar följande:
* AUD (publik): Detta identifierar den avsedda mottagaren av token, som för Azure AD B2C är applikations -ID. Ansökningar bör validera detta värde för att säkerställa att det matchar deras ID och avvisar token om det inte [3]. Publiken är synonymt med resurser [3].
* ISS (emittent): Detta påstående identifierar Security Token Service (STS) som konstruerade och returnerade token och identifierar också katalogen där användaren var autentiserad. Ansökningar bör validera detta krav för att säkerställa att token kom från lämplig slutpunkt [3].
* IAT (utfärdad vid): Detta representerar den tidpunkt då token utfärdades, under epoktid [3].
* EXP (utgångstid): Detta indikerar den tid då tokenet blir ogiltigt, representerad under epoktid. Ansökningar bör använda detta krav för att verifiera giltigheten av token livslängden [3].
* NBF (inte förut): Detta påstående anger den tidpunkt då tokenet blir giltigt, under epok. Det är vanligtvis detsamma som den tid som token utfärdades, och din ansökan bör använda detta krav för att verifiera giltigheten av token livslängden [3].
* ver (version): Detta indikerar versionen av ID -token, enligt definitionen av Azure AD B2C [3].
* C_HASH (Code Hash): Ingår i ett ID -token endast när token utfärdas tillsammans med en OAUTH 2.0 -auktorisationskod. Det kan användas för att validera äktheten av en auktorisationskod [3].
* AT_HASH (Access Token Hash): Ingår i ett ID -token endast när token utfärdas tillsammans med ett OAuth 2.0 -åtkomsttoken och används för att validera äktheten av ett åtkomsttoken [3].
* Nonce: En strategi som används för att mildra attacker för tokenuppspelning. Din ansökan kan ange en nonce i en auktoriseringsbegäran genom att använda parametern "nonce". Värdet du tillhandahåller i begäran släpps ut omodifierad i "nonce" påståendet om ett ID -token endast [3].
* sub (ämne): Detta påstående representerar den rektor som token hävdar information, till exempel användaren av en applikation. Värdet är oföränderligt och kan inte tilldelas eller återanvändas. Det kan användas för att utföra behörighetskontroller säkert. Som standard fylls ämnet på objektets ID för användaren i katalogen [3].
* ACR (Authentication Context Class Reference): Används endast med äldre policyer [3].
* TFP (Trust Framework Policy): Namnet på policyn som användes för att förvärva ID -token [3].
* AUTH \ _TIME: den tid då en användare senast angav referenser, representerade i epoktid. Det finns ingen diskriminering mellan att autentisering är en ny inloggning, en enda inloggning (SSO) -session eller en annan inloggningstyp [3].
* SCP (omfattning): Detta hänvisar till de behörigheter som beviljas resursen för ett åtkomsttoken. Flera beviljade behörigheter separeras av ett utrymme [3].
* AZP (auktoriserat part): Applikations -ID för klientansökan som initierade begäran [3].
* OID: Detta påstående innehåller en unik identifierare för ett objekt i Azure AD, är oföränderlig och kan inte tilldelas eller återanvändas. Det kan användas för att identifiera ett objekt i frågor till Azure AD [1].
Citeringar:
]
]
[3] https://github.com/microsoftdocs/azure-docs/blob/main/articles/active-directory-b2c/tokens-overview.md
[4] https://www.descope.com/blog/post/noauth
[5] https://learn.microsoft.com/en-us/entra/identity-platform/access-taken-claims-reference
]
[7] https://learn.microsoft.com/en-us/entra/identity-platform/id-token-claims-reference
[8] https://www.descope.com/blog/post/access-token-vs-refresh-taken