許可されたOriginをJWTトークンに入れますか？

Question

somedomain.comで保護するAPIがあるとします。 1ページのアプリケーションクライアントは、それを使用したいと考えて、auth.somedomain.comに認証用のエンドポイントを設定します。このアプリはcoolapps.comから提供されています。

このアプリケーション固有の認証エンドポイントで成功したログインに発行されたJWTトークンにcoolapps.comを入れますか？そのトークンは、ブラウザが誤動作していないと仮定すると、coolapp.comからロードされたばかりのスクリプトに制限され、他のドメインには制限されません。

許可されたドメインは、JWTトークンの「aud」フィールド（対象ユーザー）に入るのですか？

===

注、その目的は、クロスサイトリクエストフォージェリを阻止するだろう。 APIは、第三者サイトのアプリケーションがアクセスできるように、クロスドメイン要求を許可する必要があります。認証トークンが要求の発信元のドメインと一致することを確認するために追加のチェックが行われます。

Answer 1

はい、auth.somedomain.comが単にcoolapps.com以外のものにトークンを提供する場合、それは本当に重要になります。オーディエンスがない場合、あるドメインの管理者/アプリケーション開発者は、別のドメインに対してトークンを再生して、エンドユーザーになりすますことができます。

より細かいアプリケーション環境、つまりサブドメインの異なる管理者や同じドメインで管理されている異なるアプリケーションの場合は、audフィールドのサブドメインまたは個々のアプリケーション識別子を使用してさらに視聴者を制限することができます。