Azure身份：自定义令牌验证以验证多租户应用程序中的发行者

Question

我按照微软的文章实现了我自己的发行者验证(“定制令牌验证”是这一节的标题)。

这似乎适用于仅在应用程序上下文中发布的JWT令牌，但是当对我的API的第一次调用是通过用户委托发布的JWT令牌时就失败了。

我发现这行代码导致了问题：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddMicrosoftIdentityWebApi(Configuration);
services.Configure<JwtBearerOptions>(JwtBearerDefaults.AuthenticationScheme, options =>
{
  var existingOnTokenValidatedHandler = options.Events.OnTokenValidated;
  options.Events.OnTokenValidated = async context =>
  {
       await existingOnTokenValidatedHandler(context);
      // Your code to add extra configuration that will be executed after the current event implementation.
      options.TokenValidationParameters.ValidIssuers = new[] { /* list of valid issuers */ };
      options.TokenValidationParameters.ValidAudiences = new[] { /* list of valid audiences */};
  }
});

这是我上面发布的链接中的原始代码。我通过以下方式实现了自己的发行人验证：

        services.Configure<JwtBearerOptions>(JwtBearerDefaults.AuthenticationScheme, options =>
        {                
            var existingOnTokenValidatedHandler = options.Events.OnTokenValidated;
            options.TokenValidtionParameters.RoleClaimType = "roles";
            options.Events.OnTokenValidated = async context =>
            {
                await existingOnTokenValidatedHandler(context);
                options.Authority = "https://login.microsoftonline.com/common";
                var validTenants = FileTenantStore.Tenants.Select(x => x.AzureAdTenantId).ToList();
                options.TokenValidationParameters.ValidIssuers = GetValidIssuers(validTenants);
                options.TokenValidationParameters.IssuerValidator = ValidateIssuers;
            };
        });

我有一个多租户应用，所以我只需要让一些租户通过并拒绝最多。

这个解决方案的行为有点奇怪：

• 使用仅限应用的令牌调用 API 始终有效。
• 使用委托令牌调用 API 失败，并显示以下错误消息，甚至不会跳转到回调：

无法验证令牌。Microsoft.IdentityModel.Tokens.SecurityTokenInvalidIssuerException： IDW10303： Issuer： 'https://login.microsoftonline.com/{OUR_TENANT_ID}/v2.0' 与为此应用程序提供的任何有效颁发者都不匹配。at Microsoft.Identity.Web.Resource.AadIssuerValidator.Validate（String actualIssuer， SecurityToken securityToken， TokenValidationParameters validationParameters） at System.IdentityModel.Tokens.Jwt.JwtSecurityTokenHandler.ValidateIssuer（String issuer， JwtSecurityToken jwtToken， TokenValidationParameters validationParameters） at System.IdentityModel.Tokens.Jwt.JwtSecurityTokenHandler.ValidateTokenPayload（JwtSecurityToken jwtToken， TokenValidationParametersvalidationParameters） at System.IdentityModel.Tokens.Jwt.JwtSecurityTokenHandler.ValidateToken（String token， TokenValidationParameters validationParameters， SecurityToken

所以在这种情况下，永远不会调用“OnTokenVal的”。

• 第一次使用仅限应用程序令牌调用API，然后使用委托令牌调用API可以正常工作。

我可以通过将“OnTokenValidated”-回调中的行移动到上方一级来解决此问题：

        services.Configure<JwtBearerOptions>(JwtBearerDefaults.AuthenticationScheme, options =>
        {                
            var existingOnTokenValidatedHandler = options.Events.OnTokenValidated;

            options.TokenValidationParameters.RoleClaimType = "roles";
            var validTenants = FileTenantStore.Tenants.Select(x => x.AzureAdTenantId).ToList();
            options.TokenValidationParameters.ValidIssuers = GetValidIssuers(validTenants);
            options.TokenValidationParameters.IssuerValidator = ValidateIssuers;
            options.Events.OnTokenValidated = async context =>
            {                  
                await existingOnTokenValidatedHandler(context);
                options.Authority = "https://login.microsoftonline.com/common";

            };
        });

我现在甚至可以删除回调“OnTokenValidated”，但这感觉不对，因为微软的文章给出了明确的说明
我可以这样做吗，或者我的解决方案是安全问题吗？

Answer 1

如果你在netcore

根据您的代码：

services.AddMicrosoftIdentityWebApiAuthentication(Configuration,
    jwtBearerScheme: JwtBearerDefaults.AuthenticationScheme,
    subscribeToJwtBearerMiddlewareDiagnosticsEvents: true);