クッキーなしのOpenid Connect State param

Question

この仕様では、CSRF-lie攻撃ベクトルを緩和するためにstateパラメータを使用することを推奨しています。しかし、消費者のユーザーに対してセッションベースの認証ではなくトークンベースの認証で認証ワークフローが実装されている場合、セッションを設定することができないと考えて状態を管理するための推奨事項は何でしょうか。

Answer 1

CSRFは、ブラウザベースのユーザエージェントに関係しています。 stateは、暗号化されてユーザエージェントにバインドされるべきです。ブラウザベースのユーザエージェントが利用できるリクエスト/レスポンスのペアにバインディングを格納する唯一のメカニズムは、CookieまたはHTMLストレージであるため、これらのオプションに限定されています。