JWT 令牌未在远程服务器上验证，无法匹配“kid”错误

Question

我正在使用asp。net核心与openiddict，为了授权，我使用jwtmiddleware

 app.UseJwtBearerAuthentication(new JwtBearerOptions
            {
                AutomaticAuthenticate = true,
                AutomaticChallenge = true,
               RequireHttpsMetadata = false,
               Authority= "http://localhost"
            });

但由于某些原因，它抛出了这个错误，任何帮助都将不胜感激。

info： Microsoft.AspNetCore.Authentication.JwtBearer.JwtBearerMiddleware[7] Bearer 未经过身份验证.失败html" target="_blank">消息：IDX10501：签名验证失败。无法匹配“孩子”： “7FG4SQ4TIA测试ZDHTLRYPWIEDU_RA1FVG91D”，标记：“{”alg“：”RS256“，”典型值“：”JWT“，”孩子“：”7FG4SQ4TIA测试ZDHTLRYPWIEDU_RA1FVG9 1D“}。{“unique_name”：“asd”，“email”asd“，”Asd“，”AspNet.Identity.SecurityStamp“：”eb93ee4 4-6dbf-41b8-b1d6-157e4aa23ea7“，”jti“：”4f0f5395-e565-4489-8baf-6361d5c4cb94“，”usa ge“：”access_token“，”机密“：true，”scope“：[”offline_access“，”profile“，”emai l“，”roles“]，”sub“sub”：“9125d8c5-5739-4f46-8747-e3423a4649”，“azp”：“firebaseApp”，“nb f”：1466997962，“exp”：1466999762，“iat”：1466997962，“iss”：“http://localhost:5000/”}'。warn： Microsoft.AspNetCore.Mvc.Internal.ControllerActionInvoker[1] 对于筛选器 'Microsoft.AspNetCore.Mvc.A uthorization.授权过滤器'。warn： Microsoft.AspNetCore.Mvc.Internal.ControllerActionInvoker[1] 对于筛选器 'Microsoft.AspNetCore.Mvc.A uthorization.授权过滤器'。

Answer 1

如果您使用的是第三方 STS（例如，不是身份服务器或 Auth0），则可以使用反向通道处理程序来更轻松地从中间件调试 http 结果：

app.UseJwtBearerAuthentication(new JwtBearerOptions() {
    ...
    BackchannelHttpHandler = new BackChannelHandler()
    ...
}

然后

using System.Net.Http;
using System.Threading;
using System.Threading.Tasks;

namespace Application.API.Utilities
{
    public class BackChannelHandler : HttpMessageHandler
    {
        protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
        {
            HttpClient client = new HttpClient(new HttpClientHandler(), disposeHandler: false);
            client.DefaultRequestHeaders.Add("Accept", "application/json");
            var res = await client.GetAsync(request.RequestUri);
            return res;
        }
    }   
}

在我的例子中，jwks和openid-配置endpoint的默认返回类型是text/html，而不是Application/json。通过在从自定义处理程序发出请求时添加接受标头，一切正常。

Answer 2

>

权限应包含您的OIDC服务器的基地址。您应该指定带有端口的授权URL（在您的情况下为5000，相应于令牌信息中的“iss”声明）：

Authority="http://localhost:5000"

您可以通过设置验证颁发者签名密钥 = false 来禁用颁发机构验证。JwtBearer选项包含属性令牌验证参数，用于聚合有关验证的设置：

app.UseJwtBearerAuthentication(new JwtBearerOptions
    {
        ...
        TokenValidationParameters = new TokenValidationParameters { ValidateIssuerSigningKey = false}
    }