Spring Boot Azure Active Directory签名JWT被拒绝:需要另一个算法，或者找不到匹配的密钥

Question

我正在尝试用web服务为我的spring boot运行azure active directory。问题是当我成功登录时，它会抛出一个错误:

我已经用添加了以下属性(tetant-id、client-id、client-secret、user-group.allowed-group-names)

azure.activedirectory.redirect-uri-template=http：//localhost：8080/login/oauth2/code/

我的配置是：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class AADSecurityConfiguration extends WebSecurityConfigurerAdapter {

  @Override
  public void configure(WebSecurity web) {
    web.ignoring().antMatchers("/health");
  }

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
        .antMatchers("/oauth2/**", "/login/**")
        .permitAll()
        .anyRequest()
        .authenticated()
        .and()
        .oauth2Login();
  }
}

简单的控制器请求是：

 @GetMapping("/list")
  @PreAuthorize("hasRole('Admin') or hasRole('Users')")
  public String getListPage() {
    return "list";
  }

依赖关系的版本为：

<spring.security.version>5.6.0</spring.security.version>
<spring.boot.version>2.5.4</spring.boot.version>
<azure.version>3.10.0</azure.version>

  <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-oauth2-client</artifactId>
        <version>${spring.boot.version}</version>
    </dependency>

    <dependency>
        <groupId>com.azure.spring</groupId>
        <artifactId>azure-spring-boot-starter-active-directory</artifactId>
        <version>${azure.version}</version>
    </dependency>

    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-oauth2-jose</artifactId>
        <version>5.6.0</version>
    </dependency>

你能不能用这个问题启发我，这样我就可以绕过去吗？

更新：使用msal4j解决。

示例如下:

https://github.com/Azure-Samples/ms-identity-java-webapp/tree/master/msal-java-webapp-sample

Answer 1

检查令牌并使用 https://jwt.io 来验证声明：

1） 确保您选择了正确的签名算法（RS256）。JWT的标头包含有关用于签名令牌的密钥和加密方法的信息：

例：

{
  "typ": "JWT",
  "alg": "RS256",
  "x5t": "iBjL1Rcqzhiy4fpxIxdZqohM2Yk",
  "kid": "iBjL1Rcqzhiy4fpxIxdZqohM2Yk"
}

2） 检查 kid 声明指示用于验证令牌的特定公钥。确保根据用于对令牌进行签名的密钥进行检查。

3） 验证 scp 声明以验证用户是否已向调用应用授予调用 API 的权限。

4） 与aud（受众）核对：这标识令牌的预期接收者-其受众。API必须验证此值，如果值不匹配，则拒绝令牌。在v2.0令牌中，这始终是API的客户端ID，而在v1.0令牌，它可以是请求中使用的客户端ID或资源URI，具体取决于客户端请求令牌的方式。

5） 角色和 wids 声明，以验证用户本身是否有权调用您的 API。例如，管理员可能有权写入您的 API，但无权写入普通用户。

有关详细信息，请参阅这些文档

1. 尝试解码 Jwt 时出错：已签名的 JWT 被拒绝：需要另一种算法，或者找不到匹配的键
2. 微软身份平台访问令牌 - 微软身份平台|微软文档