如何判断Azure AD JWT令牌所用客户端密钥及相关字段说明

1. 能否从JWT令牌中识别使用的客户端密钥？ #

答案是不能。

Azure AD的客户端密钥（Client Secret）是用于验证应用程序身份的敏感凭据，当你通过client_credentials流请求令牌时，Azure AD只会验证密钥的有效性，不会将任何与密钥相关的标识信息嵌入到JWT令牌的负载中。这是出于安全考虑——密钥本身是保密的，令牌的受众（比如Graph API）只需要确认令牌是由合法的应用程序请求且未被篡改，不需要知道具体用了哪个密钥。

你观察到的负载中，appid字段是应用程序的唯一ID，所有用该应用的密钥请求的令牌都会携带这个值，但无法区分具体是哪个密钥。

2. 负载中aio、e_exp和uti字段的作用 #

这三个都是Azure AD内部使用的字段，结合实际使用和社区总结，它们的作用大致如下：

• aio：全称是Azure AD Internal Authentication Context，是Azure AD用来追踪令牌请求上下文的内部标识，包含了一些与身份验证会话相关的信息。对于应用程序来说，这个字段没有实际使用价值，不需要关注。
• e_exp：全称是Extended Expiration，表示令牌的最长有效时长（从颁发时间iat开始计算，单位为秒）。它是Azure AD内部用于管理令牌生命周期的字段，实际应用中只需要参考exp字段（令牌的具体过期时间戳）即可，e_exp一般不需要用到。
• uti：全称是Unique Token Identifier，是每个JWT令牌的唯一标识符。Azure AD用它来区分不同的令牌实例，防止重放攻击或者用于日志追踪。如果你的应用需要记录令牌相关的日志，这个字段可以用来标识每一个唯一的令牌。

内容的提问来源于stack exchange，提问作者Ronald Wildenberg