RFC 9207 — Issuer Identification

Параметр iss в ответе авторизации, защищающий клиентов, работающих с несколькими authorization server, от mix-up атак.

Спецификация: RFC 9207

RFC 9207 добавляет идентификатор issuer в ответ авторизации, чтобы клиент мог проверить, от какого сервера пришёл ответ. FAPI 2.0 это требует.

Статус

Реализован. Отмечено пунктов: 4 из 5.

Ответ авторизации

Параметр iss в успешном ответе авторизации, рядом с code и state (§2)
Параметр iss в ответе с ошибкой, в том числе когда ошибка возвращается во fragment
В режиме JARM issuer — claim iss подписанного JWT response, и отдельным параметром он не повторяется

Метаданные authorization server

authorization_response_iss_parameter_supported: true в генерируемом документе discovery (§3)
Вычисление по поведению — поле берётся из хранимого документа discovery, поэтому оператор может его убрать, пока auth по-прежнему отправляет iss

Примечания

Значение — настроенный issuer, та же строка, что issuer в discovery.
Клиент должен сравнить iss с issuer, с которым начал запрос; auth сделать это за него не может.

Куда смотреть

Справочник OpenAPI содержит спецификации authorize и metadata.