当通过refresh_token在Auth0，日本烟草国际公司（JWT ID）更新id_token没有新id_token

Question

当登录到Auth0：

POST https://my.auth0.com/oauth/ro 
{ 
    "client_id": "<client-id>", 
    "username": "me@gmail.com", 
    "password": "••••••••", 
    "connection": "<auth0-connection>", 
    "grant_type": "password", 
    "scope":  "openid offline_access jti email", 
    "device":  "<device-id>" 
} 
// Response 
{ 
    "refresh_token": "<refresh-token>", 
    "id_token": "<id-token>", 
    "access_token": "<access-token>", 
    "token_type": "bearer" 
} 
// id_token JWT payload 
{ 
    "jti": "3d4c5e97-3543-4c53-b46e-3aa965cd5a34", 
    "email": "me@gmail.com", 
    "email_verified": false, 
    "iss": "https://my.auth0.com/", 
    "sub": "auth0|<id>", 
    "aud": "<aud>", 
    "exp": 1481766419, 
    "iat": 1481730461 
} 

如果我指定我的范围jti，返回id_token，这是一个智威汤逊，将包含jti。 Auth0推荐在智威汤逊拥有jti。 jti s唯一标识智威汤逊，可用于黑名单智威汤逊等事情。

出于某种原因，不过，如果我尝试使用刷新标记获得新的id_token：

POST https://my.auth0.com/delegation 
{ 
    "client_id":  "<client-id>", 
    "grant_type":  "urn:ietf:params:oauth:grant-type:jwt-bearer", 
    "refresh_token": "<refresh-token>", 
    "api_type":  "app", 
    "scope":   "openid offline_access jti email", 
    "device":   "<device-id>" 
} 
// Response 
{ 
    "token_type": "Bearer", 
    "expires_in": 35958, 
    "id_token": "<id-token>" 
} 
// id_token JWT payload 
{ 
    "email": "me@gmail.com", 
    "email_verified": false, 
    "iss": "https://my.auth0.com/", 
    "sub": "auth0|<id>", 
    "aud": "<aud>", 
    "exp": 1481766678, 
    "iat": 1481730720, 
    "azp": "<azp>" 
} 

即使我指定我的范围jti，返回不包含jti的id_token。

这是一个错误？请帮忙。

Answer 1

jti声明不是默认生成或包含的声明。如果你看到的是行为的最有可能的解释是，你有一个自定义规则是做以下：

function (user, context, callback) { 
    user.jti = require('uuid').v4(); 
    callback(null, user, context); 
} 

这意味着，当你包括价值被包含在最终标识的jti的范围令牌，因为它是从该属性获得的。在通过授权进行时，jti声明似乎得到了特别处理，刷新时忽略它。不鼓励使用委托进行刷新，但是，如果您想继续使用该方法，并且只需要JWT中的唯一标识符，那么如果您使用非保留声明名称，则可以解决此问题。例如，在一条规则中：

function (user, context, callback) { 
    user.myjti = require('uuid').v4(); 
    callback(null, user, context); 
} 

然后在两个请求中都包含myjti作用域;一个快速测试表明，这也适用于使用委托。