Open ID Connectについて勉強中です。
Client = WEBブラウザ、RP = WEBサーバー、OP = Googleなどが提供しているプラットフォーム、を想定しています。

このImplicitフローをベースに質問させてください。

このフローを実装しているサイトをサイトAとします。悪意のあるサイトをサイトBとします。
サイトAのサービスを利用するユーザーが、悪意のあるサイトBにアクセスしてしまったとします。そこでそのサイトBにおいて、サイトAのログイン用APIに意図せずアクセスさせられてしまい（フローでいうと0番目）、その後、フローの５番目までを実行されてしまい、IDトークンを盗まれてしまう可能性はないのでしょうか？（クロスドメイン制約があるので無理？）
私はIDトークンに含まれるnonceというものの役割を理解していないので、このような質問をしているのかもしれません。nonceというランダムな値がサイトAのサーバーで作成され、その後、OPから帰ってくるIDトークンにも含まれるということは理解しているのですが、それが上述したIDトークンが盗まれてしまった場合にどう機能するのかがわかりません。

混乱の中での質問となり、要領を得ない質問で申し訳ありませんが、よろしくお願いします。