Auth0 JWT访问令牌

Question

我很难让Auth0以JWT格式返回访问令牌。我需要JWT格式的文件，以便使用javajwt库验证它们。

我正在使用Auth0lock登录，并使用/oauth/token获取访问令牌-我尝试将访问群体设置为我们的API标识符（在多个位置，包括lock auth参数和/oauth/token负载），但没有成功-返回访问令牌，但不是JWT。

或者，是否有用于验证“本机”Auth0访问令牌的Java库？

var options = {
    auth: {
        redirectUrl: '<redirect_link>',
        responseType: 'code',
        params: {
            audience: '<API_identifier>',
            scope: 'openid offline_access'
        }
    },
    allowedConnections: ['Username-Password-Authentication']
};

var lock = new Auth0Lock('<clientId>', '<auth0_Host>', options); 
lock.show();

返回的代码用于POST到https：//

client_id=<client_id>&redirect_uri=<redirect_url>&client_secret=<client_secret>&code=<returned_code>&grant_type=authorization_code&audience=<API_identifier>

这是成功的，但访问令牌不是JWT，例如：“访问令牌”：“sG99DAJI789SYgTj”

使用scope openid返回JWT格式的id_令牌，但从阅读文档来看，此令牌不应用于API授权。




Answer 1

Auth0似乎正在使用OpenID connect，这是OAuth2的扩展。最终用户身份验证成功后，服务器返回JWT格式的ID令牌和访问令牌

ID令牌

ID令牌是一种安全令牌，其中包含授权服务器在使用客户端时对最终用户进行身份验证的声明，以及可能请求的其他声明。ID令牌表示为JSON Web令牌（JWT）[JWT]。

您可以使用任何JWT库在客户端验证ID令牌，但是访问令牌的验证规则是不同的

3.2.2.9. 访问令牌验证

要使用ID令牌验证从授权endpoint发出的访问令牌，客户端应执行以下操作：

>

使用JWA中为ID Token的JOSE Header的alg Header参数指定的哈希算法哈希access_token的ASCII表示的八位字节。例如，如果alg是RS256，则使用的哈希算法是SHA-256。

取哈希的最左边的一半，并对其进行Base64url编码。

ID标记中的at_hash值必须与上一步中生成的值匹配。

因此，基本上要验证它，您需要使用ID-token的哈希算法计算access\u-token的摘要，并检查它是否与ID-token的at\u-hash声明匹配