SSO를 OIDC 프로토콜로 서비스할 때 ID Token에 사용자 정보를 포함해도 될까요?

Question

안녕하세요.SSO 서비스에 OIDC 프로토콜을 추가하려 합니다.궁금한 것은 ID Token에 사용자 고유 식별자 외 다른 정보를 포함해도 될지입니다.클라이언트 서버가 인증코드, client id, secret key 등을 전송하여ID Token, Access Token 등을 받을텐데사용자 정보를 조회하기 위해 Access Token으로 다시 재조회하는 과정을 거쳐야 하는지,해당 데이터를 처음부터 ID Token에 포함시켜 전달해도 될지 궁금합니다.

인성 절구로 빻음 · Answer

jwt에 사용자 정보 막 담는거 아닙니다.jwt는 암호화가 아니라 encode여서 탈취될 수 있음을 감안하셔야합니다.그렇기때문에 유효기간이 있는겁니다.근데 사용자 정보를 담게되면 토큰이 탈취되는 순간 개인정보도 함께 탈취됩니다.토큰에 있는 사용자의 식별값으로 db를 한번 더 조회하는게 좋습니다.

SSO를 OIDC 프로토콜로 서비스할 때 ID Token에 사용자 정보를 포함해도 될까요?

1개의 답변

#oidc 목록