保护从Azure获取的持票人令牌AD

在Azure AD OAuth 2.0端点上对守护程序应用程序进行身份验证后获得的持证人令牌的安全保护最佳做法是什么？令牌只能发送到特定的URL吗？保护从Azure获取的持票人令牌AD

请参阅https://stackoverflow.com/questions/1626575/best-practices-around-generating-oauth-tokens –

[关于生成OAuth令牌的最佳实践？]的可能重复（https://stackoverflow.com/questions/1626575/best-practices-around-generating-oauth-tokens） –

我的问题更具体到Azure AD。是否可以在Azure AD上配置不记名令牌应仅发送给我的应用程序URL？ –

我的问题更具体到Azure AD。是否可以在Azure AD上配置不记名令牌应仅发送给我的应用程序URL？

不确定是否完全理解问题，通常令牌是由令牌中的aud声明完全发布到相应的资源。这意味着即使你发送你的令牌其他资源，它是无效的。如果安全性指的是令牌自我像令牌泄漏一样，那么客户端应该安全地保存令牌，并且客户端和资源应该安全地进行通信，例如我们应该使用HTTPS而不是HTTP。

2017-10-16 05:54:20

回答