IDトークンを検証する

IDトークンを検証する方法を説明します。

ユーザープロフィールの属性を含むIDトークンは、アプリで利用され、通常はユーザーインターフェースの表示に使用されます。Auth0 は、すべてのIDトークンをJSON Web Token (JWT) 形式で発行します。

これらのチェックのいずれかに失敗した場合、そのトークンは無効と見なされるため、リクエストは拒否する必要があります。

1. JWT を検証します。

2. 追加の標準クレームを確認します。標準の JWT 検証を実行していれば、JWT のペイロードはすでにデコード済みで、標準クレームも確認しています。IDトークンで追加で検証する必要があるクレームは次のとおりです。

   • トークンのオーディエンス (aud, string): トークンのオーディエンス値は、アプリケーションの設定の Client ID フィールドで定義されているアプリケーションのクライアントIDと一致している必要があります。
   • Nonce (nonce, string): リプレイ攻撃の防止に役立つため、トークンリクエストでは nonce を渡すことを推奨します (Implicit Flow では必須) 。トークン内の nonce 値は、リクエストで送信した元の nonce と完全に一致している必要があります。詳しくは、リプレイ攻撃を軽減するを参照してください。

​

詳しくはこちら

• IDトークンを取得する
• IDトークンの構造
• IDトークンの有効期間を更新する
• Implicit Flow 使用時のリプレイ攻撃を軽減する