ИП должен хранить список идентификаторов принятых утверждений на время существования подтверждения, чтобы предотвратить воспроизведение.
И повторное изменение идентификатора - это невозможно при правильно подписанном утверждении / ответе. Ничто не может быть изменено человеком посредине. Если изменение возможно, у вас гораздо больше проблем, чем просто повтор.