无法验证从 Azure AD 获取的访问令牌签名以保护 Web API

Question

我正在尝试使用隐式流通过Azure Ad保护我的web api（.net core 2.2）。

我使用 Azure 门户在 Azure AD 中注册了我的应用程序

Name = MyWebApi

应用程序类型=Web应用程序/API

登录URL=http://localhost:55000

创建此应用程序后，我打开其清单文件并将 oauth2AllowImplicitFlow 从 false 更改为 true。

这就是我在azure portal中为应用程序注册所做的一切。

然后我从我的 chrome 浏览器手动调用以下 URL 以获取access_token：

https://login.microsoftonline.com/MY-AD-TENANT-GUID/oauth2/v2.0/authorize?client_id=MY-REGISTERED-APP-GUID

调用上述 URL 的响应为：

http://localhost:55000/#access_token=MY-ACCESS-TOKEN

当我将授权标头中的MY-ACCESS-TOKEN作为不记名令牌传递给我的Web API（. net core 2.2）时，我得到以下异常：

微软。identity model . tokens . securitytokenivalidsignature异常:IDX10511:签名验证失败。尝试键入:“Microsoft。identity model . tokens . x 509 security key，KeyId:N-lC0n-9 dalqwhuhynhq 63 gec xc '。

然后，我尝试手动验证签名：

当我粘贴MY-ACCESS-TOKENhttps://jwt.io/标题是：

{

  "typ": "JWT",

  "nonce": "AQABAAAAAACEfexXxjamQb3OeGQ4Gugvm6YdOT-bkA0IPllKMt06-J8If5AQ075TVCav94X_ZYcEYKaPneqdJcqYry-Z4XjX0eMN_fiJX_8wXe9D2b6eRiAA",

  "alg": "RS256",

  "x5t": "N-lC0n-9DALqwhuHYnHQ63GeCXc",

  "kid": "N-lC0n-9DALqwhuHYnHQ63GeCXc"

}

然后我去这个URL获取孩子的公钥：N-lC0n-9DALqwhuHYnHQ63GeCXc

https://login.microsoftonline.com/common/discovery/keys

然后，我将以下内容作为公钥粘贴到jwt上。io验证令牌签名：

-----BEGIN CERTIFICATE-----

OBTAINED-PUBLIC-KEY-FROM-THE-ABOVE-URL-HERE

-----END CERTIFICATE-----

我再次得到无效签名。

我去过这个线程：https://github.com/AzureAD/azure-activedirectory-identitymodel-extensions-for-dotnet/issues/609，但我不确定为什么我的令牌头有随机值，或者这在我的情况下是否是一个问题。

知道我在这里做错了什么吗？

Answer 1

这里发生的是，您收到的令牌是userInfoendpoint的access_token。观众是图。graph的标记已经以一种特殊的方式进行了修改，因此它们必须在签名生效之前进行转换。这允许graph向下游转发令牌(转换后),而不用担心会发生转发攻击。

若要验证，请查看是否“aud == graph”。

Answer 2

我这边试了这个，效果很好

请求网址：

https://login.microsoftonline.com/tenant-name/oauth2/v2.0/authorize?client_id=application_id&response_type=token&redirect_uri=https://snv2app.azurewebsites.net&scope=api://f3d966c0-517e-4e13-a5bb-9777a916b1a0/User.read openid&response_mode=fragment

当我得到access_token时，我在jwt.io中解析它并输入公钥，我得到的结果是: