应用程序如何识别身份提供者的安全令牌？

Question

当应用程序与发行者或身份提供者之间存在信任关系时，此应用程序识别出安全令牌仅来自发行者的方式是什么？ 因此，令牌中的一些信息与声明是一起的，还是在我们在应用程序中创建身份提供者时最初定义的？

Answer 1

两者：RP（应用程序）具有“可信发行者”（STS）列表，并且令牌由STS进行数字签名。在应用程序中根据先前配置的列表验证令牌的完整性。

如果应用收到未受损害的令牌，但它来自不在列表中的发卡行，则会被拒绝。

还有其他验证（领域，audienceUri）。

此外，“信任”是一种方式，但通常必须在两端配置。