关于Azure Identity中OIDC公共客户端不验证ID Token的技术疑问

1. 为何公共应用不应验证ID Token？客户端明明能执行验证啊？ #

公共应用（比如SPA、纯前端应用）的运行环境完全不受开发者控制，浏览器里的代码和网络请求都可能被恶意用户篡改。就算你在客户端验证ID Token的签名，恶意用户也能拦截获取公钥的请求（比如JWKS端点），返回伪造的公钥，让你验证通过一个篡改后的ID Token。这种情况下，客户端的验证根本起不到真正的安全作用，反而会让你误以为已经做了安全校验，放松警惕。

2. 为什么Access Token和ID Token适用不同规则？ #

两者的用途和安全依赖方完全不一样：

• Access Token是用来访问后端API的，API会负责验证它的有效性，客户端只需要原样传递即可，甚至不需要解析它的内容。而且在带PKCE的授权码流里，Access Token是通过后端通道（token端点）获取的，不会暴露在前端URL里，安全性更高。
• ID Token是给客户端用来获取用户基本信息（比如用户名、头像）的，它直接通过前端URL返回，本身就处于不可信的环境中。公共应用没法安全地验证它的真实性，所以微软认为这种验证没有实际益处。

3. 既然无需验证ID Token，为什么授权请求还要传nonce？ #

nonce的核心作用是防止重放攻击，哪怕你不验证ID Token的签名，也可以检查ID Token里的nonce值是否是你之前生成并存储的。这样能避免恶意用户把旧的ID Token重新发给你的应用，冒充当前用户。
另外，ID Token虽然主要用于UI展示，但如果你的应用有轻度的会话管理需求（比如记住用户登录状态），nonce能确保这个ID Token是当前会话生成的，不是重放的旧令牌。而且OIDC规范本身要求授权请求包含nonce，微软的实现也是遵循这一规范，同时保留了这个基础的防护机制。

内容的提问来源于stack exchange，提问作者David Mason