OpenID Connect服务器是否应该提供两次相同的令牌？

如何解决OpenID Connect服务器是否应该提供两次相同的令牌？

这个问题可能被认为是“太宽泛的”或“好的做法”，但是我想可能会有一些RFC可以回答这个问题。

我目前正在开发OIDC服务器，并且遇到无法确定如何处理的情况。

用户一直在通过Web应用程序执行常规的授权代码流。最后，Web应用程序具有有效的ID令牌。现在，由于某些原因，Web应用程序很快就会忘记此令牌，并且用户再次运行身份验证流：

• OP是否应提供先前的ID令牌，因为它仍然有效？还是这里有一些安全问题？
• 如果没有，OP应该再次征求用户同意，还是认为已经获得用户同意？

解决方法

我想您可以在这里找到答案：https://openid.net/specs/openid-connect-core-1_0.html#Authenticates。还要注意此处的措词：https://openid.net/specs/openid-connect-core-1_0.html#TokenResponse，说“与已认证的会话关联的ID令牌值”。

我的解释是：根据实现的不同，可以看到ID令牌与OP可能具有的经过身份验证的会话相关联。因此，可以，允许OP提供相同的ID令牌，除非Authentication Request的提示参数需要重新认证或同意。 如果客户端始终希望/需要明确的身份验证和/或同意，则可以将提示符参数用于此目的。