简体中文
理解 "iat" 令牌声明的重要性和解决 "无效的签发时间" 错误
在这篇文章中，我们将探讨在 ID 令牌中 "iat" 声明的重要性，以及如何解决 "ID 令牌中无效的签发时间" 错误。
Charles
Developer
Developer
在这篇文章中，我们将探讨在 ID 令牌中 "iat" 声明的重要性，以及如何解决 "ID 令牌中无效的签发时间" 错误。
在我们的社区中，我们时不时会听到用户提到这个令人困惑的问题：“ID 令牌中无效的签发时间”。我们的用户抱怨说：“昨天还好好的，今天就突然不行了”或者“在这台电脑上可以用，但在另一台上就不行”。
在这篇文章中，我们将探讨为什么这个问题会在 Logto 中发生，并为你提供解决这个问题的知识。
在 OAuth 2.0 和 OpenID Connect (OIDC) 中，ID 令牌在安全传递用户身份信息方面起着至关重要的作用。在 ID 令牌中的一个声明被称为 "iat"（签发行时间），表示授权服务器签发 ID 令牌的时间戳。
现在，“无效的签发时间”错误的根本原因几乎已清楚。
为了减轻重放攻击的风险并考虑时钟偏差，Logto 之前为 ID 令牌设置了 60 秒的耐受窗口。任何与世界时间的时差超过 60 秒的受信方都被视为潜在有风险，并且会导致 ID 令牌验证失败。因此，出现“无效的签发时间”错误。
然而，在现实中，时钟偏差确实存在，有时你的计算机未能连接至世界时间服务器以同步计算机时间。有时，授权服务器也不同步。有时，更糟糕的是，双方都不同步。
此外，在单点登录 (SSO) 场景中，各客户端与 SSO 提供商之间的时间差异可能会更大。
为了减轻这些问题并考虑安全措施，Logto 现在将非 SSO 身份验证的 iat 容忍度从 60 秒增加到 5 分钟，SSO 场景下为 10 分钟。
同时，你可以使用这个很方便的工具网站：https://time.is 来检查你的计算机时间是否与世界同步。手动同步你的时间或更换其它时间服务器，以确保时间差始终在我们的宽容窗口内。
ID 令牌中的 "iat" 声明是增强现代应用程序中身份和访问管理安全性的关键要素。采用处理 "iat" 声明的最佳实践，确保身份验证过程既稳固又安全。
同时，确保你的计算机时间始终与世界时间服务器同步。