쿠키가없는 Openid Connect 상태 매개 변수

Question

이 사양에서는 CSRF-LI 공격 경로를 완화하는 데 도움이되도록 state 매개 변수를 사용할 것을 권장합니다. 그러나 세션에서 설정할 수없는 상태를 관리하기위한 권장 사항은 소비자의 사용자를위한 세션 기반 인증 대신 토큰 기반 인증을 사용하여 인증 워크 플로를 구현하는 경우입니다.

Answer 1

CSRF는 브라우저 기반 사용자 에이전트에 관한 것입니다. state은 사용자 에이전트에 암호 학적으로 바인딩되어야합니다. 브라우저 기반 사용자 에이전트가 사용할 수있는 요청/응답 쌍을 통해 바인딩을 저장하는 유일한 메커니즘은 쿠키 또는 HTML 저장소이므로 이러한 옵션에만 제한됩니다.