如果范围是graph.microsoft.com，则访问令牌验证失败

Question

从AAD接收访问令牌，使用下面的urlhttps://login.microsoftonline.com/gdfdddddd-87dd-497c-b894-xxxxxx/oauth2/v2.0/token

grant_type ：client_credentials

客户端id:xxxxx-1ff 5-4615-8d 71-yyyyy

client_secret：[7aCw]fdsfsfsfds.AC61Fg： cm33

适用范围 ： https://vault.azure.net/.default

使用以下代码手动验证上述收到的令牌

 IConfigurationManager<OpenIdConnectConfiguration> configurationManager = new ConfigurationManager<OpenIdConnectConfiguration>("https://login.microsoftonline.com/TestDomain310320.onmicrosoft.com/v2.0/.well-known/openid-configuration", new OpenIdConnectConfigurationRetriever());
            OpenIdConnectConfiguration openIdConfig = AsyncHelper.RunSync(async () => await configurationManager.GetConfigurationAsync(CancellationToken.None));

            TokenValidationParameters validationParameters =
                new TokenValidationParameters
                {
                    ValidIssuer = "https://sts.windows.net/a3d2bff3-87dd-497c-b894-f63befdd7496/",
                    ValidAudiences = new[] { "https://vault.azure.net" },
                    IssuerSigningKeys = openIdConfig.SigningKeys
                };

            SecurityToken validatedToken;
            JwtSecurityTokenHandler handler = new JwtSecurityTokenHandler();
            var user = handler.ValidateToken(token, validationParameters, out validatedToken);

修改的参数范围：https：//graph.microsoft.com/.default

观察：

收到的令牌范围：https://vault.azure.net/.default

     {
       "typ": "JWT",
      "alg": "RS256",
       "x5t": "YMELHT0gvb0mxoSDoYfomjqfjYU",
       "kid": "YMELHT0gvb0mxoSDoYfomjqfjYU"
      }

虽然令牌接收范围：https://graph.microsoft.com/.default有额外的随机数属性，以避免重放攻击，这是令牌验证失败的原因吗？

   {
     "type": "JWT",
    "nonce": "wCXLm9rF5Nma2S7OswU44uAVRpVbM_20WrWJkqbWe6Y",
    "alg": "RS256",
   "x5t": "YMELHT0gvb0mxoSDoYfomjqfjYU",
   "kid": "YMELHT0gvb0mxoSDoYfomjqfjYU"
 }

请建议。

Answer 1

是的，该错误是由 JWT 标头中的随机数字段引起的。

据我所知，如果我们请求图形 API 的访问令牌，JWT 令牌将包含随机数字段。然后我们无法在后端验证它（出于安全原因，微软不允许我们执行此操作）。

Answer 2

您不应该查看或验证未颁发给您自己的Apis的令牌。预期接收方、KeyVault和MS Graph将自行进行必要的验证。您应该将这些访问令牌视为一个不透明的blob，在调用这些Api时将其塞入Authorization头中。

Api所有者、Graph或KeyVault明天可以更改其中的声明，甚至选择加密它们的令牌，这样你的代码就会崩溃。

为什么要验证令牌？如果您正在读取应用程序中不属于您的Apis的验证令牌作为身份验证的证明，那么您正在为失败做好准备。此外，这也是一个安全问题，因为世界上任何可以获得KeyVault或MS图形的访问令牌的应用程序都可以将其传递给您的Apis并对其进行破坏。

下面是供参考的讨论 - 无法验证签名。#609