OAuth官网「切勿向API发送ID令牌」的含义及内部系统适配疑问

首先明确OAuth官网那句提示的核心原因：ID Token的设计受众是前端客户端（你的JS应用），而非后端API。它的作用是让前端确认用户身份、获取基础用户信息，API无法通过它完成合规的授权校验（比如受众校验会失败）。针对你的前后端分离+OIDC SSO场景，正确的做法是使用Access Token对接API：

具体实现步骤 #

• 调整OIDC认证请求的Scope：前端发起PKCE授权请求时，除了openid，额外添加你的API专属Scope（比如自定义为your-api-access，需在授权服务器提前配置对应API资源）。这样授权服务器会同时返回ID Token（给前端用）和Access Token（给API用）。
• 前端携带Access Token请求API：前端拿到Access Token后，每次调用ASP.NET API时，将其放在Authorization请求头中，格式为：

  Authorization: Bearer {access_token}
  

• ASP.NET API配置Access Token验证：在API中配置OIDC验证中间件，指向你的授权服务器，验证Access Token的签名、受众（aud）、过期时间等合法性。验证通过后，即可从Token的声明中提取用户角色信息。
• 授权服务器配置角色声明：在授权服务器的用户配置或令牌规则中，将用户的角色信息（比如roles声明）写入Access Token，这样API验证Token后就能直接获取角色，完成权限校验。

额外说明 #

你的场景是内部SSO，无需第三方授权同意，完全符合OIDC的使用规范：用户完成认证后，授权服务器颁发Access Token给前端，用来代表用户访问后端API，API通过Access Token确认用户身份与权限，全程不需要传递ID Token。

内容的提问来源于stack exchange，提问作者Michiel van Oosterhout