OpenID接続プロバイダ、RSACではなくHMACをサポートし、jwks_uriなしでどのように適合するか？

Question

私はOpenID接続プロバイダを実装していますが、特定の署名アルゴリズムを要求する仕様では何も表示されません。つまり、私はHMAC/HS256を実装するだけで、証明書の使用には煩わされないはずです。そうですか？

もしそうなら、なぜjwks_uriがメタデータに必須であるのですか？

Answer 1

有効な質問です。

のOP RSA SHA-256アルゴリズム（RS256の ALG値）と署名IDトークンをサポートしなければならない：あなたがいない持っには状況があるかもしれないと

コア仕様hints OPがトークンエンドポイントからIDトークン を返すことをサポートしていない場合（認証コード フローの場合のように）、クライアントが 要求IDトークン署名アルゴリズムとしてnoneを指定して登録することのみが許可されます。

しかし、その後探索ドキュメントgoes onはちょうどnoneid_token_signing_algとして宣伝することができないことであることを否定する：

アルゴリズムRS256が含まれなければなりません。

もちろん、後者は、必要なものがあることを正当化しますが、それは奇妙に感じます。

Answer 2

検出は必須ではありませんが、サポートする場合はメタデータドキュメントにjwks_uriが含まれ、RS256をサポートしている必要があります。 IOW。ディスカバリーなしでのみ「なし」をサポートすることができます。