文章/答案/技术大牛

发布

社区首页 >问答首页 >为什么IdentityServer3隐式流需要签名证书，而ClientCredential和ResourceOwner流不需要签名证书？

问为什么IdentityServer3隐式流需要签名证书，而ClientCredential和ResourceOwner流不需要签名证书？
EN

Stack Overflow用户

提问于 2016-07-18 02:51:54

回答 1查看 141关注 0票数 1

我正在尝试加快在.NET web应用程序中使用IdentityServer3进行授权的速度。

我试图弄清楚为什么隐式流要求IdentityServer具有签名证书，而授权流不需要签名证书。

到目前为止，我所理解的是:流"ClientCredential“和"ResourceOwner”是"AuthorizationFlows“-即它们有一个客户端秘密，所有令牌都是从令牌端点返回的，通过刷新令牌进行的长期身份验证是可能的，令牌不会显示给每个https://www.scottbrady91.com/OpenID-Connect/OpenID-Connect-Flows的用户代理/浏览器(相反，它们存储在服务器上，cookie或类似的东西被发送到用户代理/浏览器)。对于直接访问WebAPI的SPA / JS应用程序，应该使用隐式流，因为JS客户端直接从浏览器调用Identity Server，因此无法保留客户端机密(因为它必须传输到浏览器，从而影响安全性)。

所有这些都是有意义的，但在所有情况下，IdentityServer都会生成应用程序用于授权的令牌，所以我不明白为什么在一种情况下需要签名，而在另一种情况下不需要签名？

非常感谢您的帮助！

identityserver3

certificate

implicit

signing

回答 1

Stack Overflow用户

发布于 2016-07-21 10:12:32

每当发出JWT (id_token或access_token)时，都需要签名证书。

票数 1

页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://stackoverflow.com/questions/38424799

复制

相似问题

问为什么IdentityServer3隐式流需要签名证书，而ClientCredential和ResourceOwner流不需要签名证书？
EN

回答 1

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问为什么IdentityServer3隐式流需要签名证书，而ClientCredential和ResourceOwner流不需要签名证书？EN

回答 1

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问为什么IdentityServer3隐式流需要签名证书，而ClientCredential和ResourceOwner流不需要签名证书？
EN