Contexte : Une application web intégrée en OpenID Connect fonctionne en environnement de test mais échoue lors d'audits de sécurité. Le Problème : L'ID Token est accepté sans validation du nonce envoyé lors de la requête d'authentification. Implémentation actuelle : if(validateSignature(idToken)) { allowAccess(); } Aucune vérification du nonce n'est effectuée. Contraintes : Vous devez respecter le standard OpenID Connect. Le fournisseur d'identité ne peut pas être modifié. Livrable attendu : Implémenter une validation complète incluant la vérification du nonce pour prévenir les attaques de replay tout en conservant un SSO fonctionnel.