OpenID連接和彙總/分佈式索賠

Question

我對OpenID Connect Core Specification的彙總索賠和分佈索賠有疑問。

據我所知，這些聲明來自不同的（外部）來源，按照規範及其示例，它包含一個包含聲明值的JWT。我瞭解，此JWT在收集源代碼之前由源代碼進行簽名。

關於聚集索賠：

• 如何RP可以檢索公鑰和驗證JWT的由源發出的簽名？
• The specification indicatesID Tokens SHOULD NOT use the JWS or JWE x5u, x5c, jku, or jwk Header Parameter fields.。在這種特殊情況下，是否允許將其中一個頭部包含在JWT頭文件中？

分佈式聲明實際上只是一個鏈接和可選的訪問令牌來檢索聲明。

• 是否有任何理由只允許承載令牌？爲什麼我們不能使用其他令牌類型，例如MAC或POP令牌？

Answer 1

RP如何檢索公鑰並驗證源發佈的JWT的簽名？

假設外部來源僅僅是其他OIDC提供者，他們的公鑰可以通過OIDC Discovery獲得 - 參見4.2節參數「jwks_uri」。