您在此处：
配置外部客户端应用程序 OAuth 设置：配置 ID 令牌控制
此控制定义了身份令牌的安全参数，包括其生命周期、授权收件人以及数据负载中包含的特定用户属性或权限。
控件名称
外部客户端应用程序：配置外部客户端应用程序 OAuth 设置：配置 ID 令牌
推荐配置
配置 ID 令牌 - 令牌持续时间（以分钟为单位（2 分钟）| ID 令牌受众|包括标准声明|包括自定义权限|自定义属性。
控制概览
此控制定义了身份令牌的安全参数，包括其生命周期、授权收件人以及数据负载中包含的特定用户属性或权限。
安全风险（如果未配置）
如果没有受限的令牌持续时间和定义的受众，身份令牌的有效期会过长，可能会被未经授权的第三方应用程序重复使用，以获取对受保护资源的访问权限。
威胁场景
攻击者通过网络漏洞拦截长期存在的身份令牌，并将其用于在不验证令牌的目标受众的多个集成系统中冒充合法用户。
估计的 CVSS 得分范围
高 (7.0–8.9)。
风险影响注意事项
无法约束令牌属性和持续时间会允许持续的未授权访问，并使内部用户权限和自定义简档数据意外暴露给外部服务提供商。
高风险
令牌用于促进处理敏感数据的应用程序的单点登录，或者当令牌包含广泛的管理自定义权限时。
低风险
如果外部应用程序执行自己的令牌签名和到期时间戳严格验证，而不管 Salesforce 配置如何。
业务和集成注意事项
设置非常短的令牌持续时间（例如 2 分钟），需要外部应用程序拥有强大的自动化逻辑来刷新身份数据，以防止用户会话中断。
建议的补救措施
转到外部客户端应用程序的 OAuth 设置，将令牌持续时间设置为两分钟，指定授权的受众 URL，并选择所需的最小声明和属性。
安全健康审查指导
安全健康审查将精确身份令牌配置确定为强制标准，以便用户身份数据是短暂的，针对特定的收件人，并限制为身份验证所需的最少信息量。
另请参阅：
本文章是否解决您的问题？
请与我们共享您的想法，以便我们进行改进！
