Is nbf a mandatory requirement for request object in FAPI 2 message signing?
@dpostnikov がすでに取り組んでいます。
2026年7月11日 から。
評価
この issue はまだ評価されていません。
説明
Originally submitted by Dima Postnikov (Dima Postnikov) on 2025-08-06
Current text says:
Clients implementing FAPI2 authorization request signing:
…
shall send a
nbfclaim in the request object…
I understand that there are circumstances where it’s useful to have but is it required for every request?
Side question. Should this text from FAPI 2 security profile be in FAPI 2 message signing instead?
- to accommodate clock offsets, shall accept JWTs with an
iatornbftimestamp between 0 and 10 seconds in the future but shall reject JWTs with aniatornbftimestamp greater than 60 seconds in the future. See Note 3 for further details and rationale; andNOTE 3: Clock skew is a cause of many interoperability issues. Even a few hundred milliseconds of clock skew can cause JWTs to be rejected for being "issued in the future". The DPoP specification [RFC9449] suggests that JWTs are accepted in the reasonably near future (on the order of seconds or minutes). This document goes further by requiring authorization servers to accept JWTs that have timestamps up to 10 seconds in the future. 10 seconds was chosen as a value that does not affect security while greatly increasing interoperability. Implementers are free to accept JWTs with a timestamp of up to 60 seconds in the future. Some ecosystems have found that the value of 30 seconds is needed to fully eliminate clock skew issues. To prevent implementations switching off
iatandnbfchecks completely this document imposes a maximum timestamp in the future of 60 seconds.
Bitbucket status: open
Bitbucket origin: issue 753
- 主要言語
- HTML
- スター
- 4
- フォーク
- 3
- 平均マージ
- 21日 57分
- マージ済み PR（30日）
- 1
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
openid/fapi のほかの issue
-
component: FAPI 1: Advanced migrated-from-bitbucket priority: major type: bug
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
-
migrated-from-bitbucket priority: trivial type: bug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
-
難易度 5/5 1週間以上 初心者へのやさしさ 30/100
-
component: Implementation & Deployment Advice
難易度 2/5 1〜3時間 初心者へのやさしさ 55/100
-
難易度 5/5 1週間以上 初心者へのやさしさ 35/100