Предполагается ли, что id_token имеет более продолжительный срок службы, чем токен доступа?
Нет, обычно нет.
Обычный способ работы с id_token - это просто проверить, что пользователь аутентифицирован, получить информацию о пользователе из этого токена, кэшировать эту информацию и никогда не использовать id_token снова (потому что вы простоне нужно потом).Но ваше клиентское приложение может иметь некоторую логику, связанную с id_token, поэтому вы можете захотеть, чтобы оно работало дольше.Например, упомянутый angular-auth-oidc-client lib использует дату истечения срока действия id_token для выполнения автоматического обновления при истечении срока действия токена.
Здесь идея о том, чторекомендуется, чтобы у id_token было короткое время жизни. Однако здесь говорится, что время жизни id_token установлено по умолчанию на 10 часов
Ну, 10 часов все еще короткое время, хотя IdentityServer4, например, имеет 5 минут по умолчанию .
Какая связь между токеном id и токеном доступа относительно их времени жизни?
Подводя итог: это зависит отВы клиент.Обычно нормально иметь кратковременный id_token, но, например, если вы используете библиотеку angular-auth-oidc-client с неявным низким уровнем, тогда не имеет смысла иметь разные маркеры истечения времени доступа и идентификаторов, и если вы не хотитечтобы выполнить тихое обновление слишком часто, то времени жизни должно хватить, я бы сказал, 1 час или более.