5. セキュリティに関する考慮事項

[RFC6749] (OAuth 2.0 認可フレームワークにおけるセキュリティに関する考慮事項) のセクション 10 のガイダンスの多くは、ここでも適用されます。さらに、[RFC6819] は OAuth の追加のセキュリティに関する考慮事項を提供しており、[OAUTH-SECURITY] は、展開の経験と OAuth 2.0 が最初に公開されてから出現した新たな脅威に基づいて、セキュリティガイダンスを更新しています。

[JWT] で議論されている通常のセキュリティ問題のすべて、特に URI の比較や認識されない値の処理に関連する問題は、ここでも適用されます。

さらに、委任となりすましの両方が固有のセキュリティ問題を導入します。あるプリンシパルに別のプリンシパルの権利が委任されるときはいつでも、悪用の可能性が懸念されます。"scope" クレームの使用は (トークンの有効期間の制限などの他の一般的な制約に加えて)、委任された権利が行使できるコンテキストを制限するため、このような悪用の可能性を軽減するために推奨されます。