Зачем моделировать токены OIDC явно?
OpenID Connect упрощает современный вход в систему, а также создает классическую проблему собрания: люди называют токен для более чем одного объекта. Продукт может использовать токен идентификатора для текста профиля на экране и токен доступа для вызовов API, но они не являются взаимозаменяемыми только потому, что оба могут выглядеть как трехчастные JWT. Боль — это проверка запуска или продления, когда юридические вопросы, безопасность и продукт находятся в одной комнате, и реальный вопрос заключается в том, какие данные и где разрешены, а не в том, сработал ли тестовый вход на телефоне. Декодирование в стиле отладчика помогает менеджеру программы сохранять спокойствие. Вы можете указать эмитента, аудиторию и время жизни, а также указать, какой токен считывает пользовательский интерфейс, а какой токен проверяет сервер. Для маркетологов и руководителей операций выигрыш заключается в меньшем количестве сюрпризов после запуска, таких как поле, которое показывалось в демо-версии, но никогда не появлялось в реальном пути токена. Бесплатное представление JWT в стиле OIDC делает невидимое разборчивым с той же осторожностью, с которой вы относитесь к любому секрету. Преимущество — общий словарный запас, поэтому команда переходит от аргументов к контрольному списку: исправить аудиторию, исправить области действия, исправить перенаправления, согласовать среду. Если вам надоело пять значений JWT за один час, откройте поля, назовите объект, который вы отлаживаете, и измените правильную настройку консоли, а не случайный слой приложения. Это более спокойная работа для людей и календаря, и именно поэтому межкомандные запуски кажутся запланированными, а не импровизированными. Используйте представление, задокументируйте то, что вы нашли, и создайте заявку с конкретными именами полей, а не с настроением. Относитесь к отладчику OIDC JWT как к этапу инструктажа, а не как к замене полного процесса обеспечения безопасности, и вы получите скорость без хаоса. Когда история ясна, день становится короче, и руководство слышит план, а не туман. Если клиенты ждут, ясность нежелательна; это сам график.
Как отлаживать JWT в стиле OIDC
- Запишите токен, который вы фактически используете для вызова ресурса, и тот, который ваш SPA считывает для профиля пользователя, отдельно, если ваш поток позволяет им различаться.
- Проверьте aud, azp и iss на соответствие регистрации вашего приложения, затем посмотрите scp или пользовательские утверждения, если ваш шаблон BFF вводит больше ролей.
- Согласуйте время жизни сеанса с обновлением: часто ошибка продукта связана с опытом, а не с криптографией, даже когда люди говорят: «JWT сломан».