如果访问令牌中的“ iss”字段是HTTP URL，是否安全？

Question

我已在客户端的API上添加了承载令牌认证。在发送给API的访问令牌中，颁发者是：http://[some-domain.com]/adfs/services/trust。

当此URL使用HTTP而非HTTPS时，身份提供者配置是否错误或以不安全的方式配置？还是这个简单的只是一个字符串，不用于发出请求，因此它是否显示HTTP无关紧要？

Answer 1

iss声明是字符串或URI，这意味着接收令牌的服务将使用它来确定是否信任令牌通过比较将该值分发给发行人列表配置为信任。

字符串比较应遵循RFC 3986中描述的规则

该值不是URL，因此该值未指向网络上的任何实际资源。

有关JWT和标准声明的更多信息，请参见RFC 7519。>>