Valider les ID tokens

Décrit comment valider un jeton d’identité.

Un jeton d’identité, qui contient des attributs du profil utilisateur, est utilisé par une application, généralement à des fins d’affichage dans l’interface utilisateur. Auth0 émet tous les ID tokens au format JSON web token (JWT).

Si l’une de ces vérifications échoue, le jeton est considéré comme invalide et la requête doit être rejetée.

1. Validez le JWT.

2. Vérifiez d’autres claims standards. Si vous avez effectué la validation JWT standard, vous avez déjà décodé le payload du JWT et examiné ses claims standards. Les claims supplémentaires à vérifier pour les ID tokens comprennent notamment :

   • Audience du jeton (aud, string) : la valeur d’audience du jeton doit correspondre à l’ID client de l’application, tel qu’il est défini dans les paramètres de votre application, dans le champ Client ID.
   • Nonce (nonce, string) : il est recommandé d’inclure un nonce dans la requête de jeton (obligatoire pour le flux implicite) pour aider à prévenir les attaques par rejeu. La valeur du nonce dans le jeton doit correspondre exactement au nonce d’origine envoyé dans la requête. Pour en savoir plus, consultez Atténuer les attaques par rejeu.

​

En savoir plus

• Obtenir des ID Tokens
• Structure de l’ID Token
• Mettre à jour la durée de vie de l’ID Token
• Atténuer les attaques par rejeu lors de l’utilisation du flux implicite