Validar tokens de ID

Describe cómo validar un token de ID.

Un token de ID, que contiene atributos del perfil del usuario, lo consume una aplicación y, por lo general, se usa para mostrar la interfaz de usuario. Auth0 emite todos los tokens de ID en formato JSON Web Token (JWT).

Si alguna de estas comprobaciones falla, el token se considera no válido y la solicitud debe rechazarse.

1. Valide el JWT.

2. Verifique claims estándar adicionales. Si ya realizó la validación estándar del JWT, ya ha decodificado la carga útil del JWT y ha revisado sus claims estándar. Los claims adicionales que debe verificar en los tokens de ID incluyen:

   • Audiencia del token (aud, string): El valor de audiencia del token debe coincidir con el ID de cliente de la aplicación, tal como se define en la configuración de la aplicación, en el campo Client ID.
   • Nonce (nonce, string): Se recomienda pasar un nonce en la solicitud del token (es obligatorio para el flujo implícito) para ayudar a prevenir ataques de repetición. El valor de nonce en el token debe coincidir exactamente con el nonce original enviado en la solicitud. Consulte Mitigar ataques de repetición para obtener más información.

​

Más información

• Obtener tokens de ID
• Estructura del ID Token
• Actualizar la duración del ID Token
• Mitigar ataques de repetición al usar el flujo implícito