1) at-hash 2) state identsustõendis eemaldamine

[PriitParmakson]

@priitserk,

1. võtame "at_hash" maha, kuna access tokenit me ei paku. (V-o parem välja kommenteerida kui eemaldada - otsusta ise).
2. kuidas "state" sai identsustõendisse? See ei kuulu sinna protokolli ega ka praktika kohaselt. Võtame maha, kuna state-i kontroll tuleb teha juba autoriseerimispäringust tagasi suunates.

[PriitParmakson]

Nonce las jääb. Standard ütleb, et nonce on volituskoodi voo puhul OPTIONAL. Kusagilt ei loe ka välja, kuidas nonce-ga tõkestatav taasesitusrünne täpselt välja näeks. Aga las jääb.

State-i kontrollitakse autoriseerimispäringust (meie dokumentatsioonis - autentimispäringust) tagasi saabudes. Nonce-i kontrollitakse siis, kui identsustõend on käes.

State ja nonce selgituseks - Protokollis, nagu kirjutajatel ikka juhtub - on protokolli lõppversioonis tekst läinud abstraktsemaks (=segasemaks). Tahtmine teha hästi üldist protokolli. Vaadake https://openid.net/specs/openid-connect-basic-1_0.html, jaotis "2.1.1.1 Request Parameters" - seal on selgemalt välja öeldud, mida state ja nonce teevad ja kuidas neid sessiooniga siduda. Viidatud dokument oli mõeldud lihtsa juhendina, kuid praegu avalikult väljas ei olegi!
Sessiooni mõistest - eristatakse nn "authentication session" ja "service session". Service session luuakse eduka autentimise järel. Enne seda on autentimise sessioon. Hea praktika on autentimissessiooni session id-esid teenuse sessiooni loomisel mitte taaskasutada!