使用Azure Active Directory访问令牌的承载身份验证

Question

我正在使用带有承载策略的Passport AAD项目来保护我的endpoint。当我在登录时收到带有OIDC策略的令牌后，我似乎无法获得承载策略来验证访问令牌的签名。我得到：

authentication failed due to: invalid signature

我没有问题验证id_token，但如果id_token不能用AAD刷新，我更希望不要在我们的客户端应用程序中使用它。此外，当使用jwt.io测试发布的公钥的验证时，我看到了同样的问题（可以验证id_token，但不能验证access_token)。

identityMetadata: https://login.microsoftonline.com/your_tenant_name.onmicrosoft.com/.well-known/openid-configuration,
responseType: 'id_token code'

const callbackOIDC = (iss, sub, profile, accessToken, refreshToken, params, done) => {
  return done(null,{
    profile,
    accessToken,
    refreshToken
  });
};

passport.use(new OIDCStrategy(config.creds, callbackOIDC));

然后运行authenticate,如下所示：

auth.adCallback = function (req, res, next) {
  passport.authenticate('azuread-openidconnect', {
    response: res,
    resourceURL: 'https://graph.microsoft.com',
    session: false
  }, function (err, user, info) {
    console.log(user.access_token);
  })(req, res, next);
};

我想我可能是通过指定资源URL在上面请求一个图访问令牌。如果我移除那个资源URL，我仍然得到一个访问令牌，但是承载策略抛出一个无效令牌错误（而不是无效签名错误）。是否有一个不同的资源URL我应该设置与我的租户匹配并获得我正在寻找的访问令牌？

Answer 1

您请求的是什么访问令牌？例如，如果访问令牌是针对Microsoft图形使用的，那么验证它们是图形的任务，而不是您的应用程序的任务。您能否详细说明您正在尝试实现的具体场景，以及在什么时候需要刷新id_tokens？