https://oa.dnc.global/Validation-du-jeton-d-acces.html Si le jeton d'ID contient une déclaration at_hash, le client PEUT l'utiliser pour valider le jeton d'accès. Ceci est une précaution de sécurité utile (voire indispensable ?). En effet, nous disposons de la faculté de vérifier le JWT avec sa signature, mais nous ne disposons pas de la faculté de valider un jeton d'accès de façon autonome (puisque c'est un jeton opaque) Encore un bon point pour OpenID Connect ! Un bon point aussi pour la bibliothèque oauth2-server-php de Brent Schaffer qui (…) fr SPIP - www.spip.net