Considerazioni sulla visualizzazione dell'output OpenID e WS- * a un utente finale

Che cosa vuoi proteggere quando mostri il token? Riproduci l'attacco? Rivelazione di un 'informazione? Etc?

se il sito si limita a testare la gestione dei token, allora è accettabile mostrare l'intero token in quanto è perché non dovrebbero usare un token da un sistema di produzione.

Se un utente malintenzionato ha il token completo, può riprodurlo, in modo che possa impersonare potenzialmente l'utente. Potrebbero anche riprodurlo contro altre applicazioni potenzialmente se il token non è crittografato (o le applicazioni condividono la stessa chiave di decrittografia). Inoltre, se il token contiene reclami con segreti o informazioni personali, un utente malintenzionato potrebbe raccogliere tali informazioni.

Con tutto ciò che viene detto, il token è inutile per l'autenticazione se si spoglia la firma (beh, supponendo che l'applicazione in realtà convalidi la firma).

MODIFICA: se vuoi mostrare il token completo ma impedire gli attacchi di riproduzione, tieni semplicemente una voce per quel token prendendo un hash di esso. WIF supporta la cache dei token, che è progettata in parte per tale motivo, ma dovresti eseguire un'implementazione personalizzata.