使用JWKs Endpoint处理JWT令牌

Question

我收到两个jwt：一个OpenID连接ID令牌（ID\u令牌）和一个访问令牌（Access\u令牌）。OpenID的情况或多或少是清楚的-我可以使用JWKSendpoint验证它：https://smth.com/JWKS.

如例（https://bitbucket.org/b_c/jose4j/wiki/JWT例）：

HttpsJwks httpsJkws = new HttpsJwks("https://smth.com/JWKS");
HttpsJwksVerificationKeyResolver httpsJwksKeyResolver = new HttpsJwksVerificationKeyResolver(httpsJkws);
jwtConsumer = new JwtConsumerBuilder()
    .setVerificationKeyResolver(httpsJwksKeyResolver)
    .setExpectedAudience(...)
    .setExpectedIssuer(...)
    .build();

问题是如何继续使用访问令牌。我可以从中提取userId和userDetails，但我想我还需要验证它？

如果我尝试验证与ID令牌相同的访问令牌，则会出现以下错误：

UnsolvableKeyException:找不到JWS的合适验证密钥，该JWS带有标头{“alg”：“RS256”，“kid”：“1”}

事实上，“kid”没有键：“1”，而且这个值“1”似乎有点奇怪？

我做错什么了吗？

Answer 1

听起来您正在实现OpenID连接客户端或依赖方的角色。这两个令牌，ID令牌和access令牌，用于不同的目的，应该由客户端进行不同的处理。ID令牌用于客户端，并支持在客户端对最终用户进行身份验证。在允许最终用户进入之前，客户端必须验证ID令牌（验证签名并验证exp和aud等声明）。然而，访问令牌是供客户端用来访问资源或API的，而不是直接供客户端使用或验证。访问令牌对客户端是不透明的，客户端不应该关心或知道它的详细信息。事实上，访问令牌并不总是JWT。在OpenID Connect中，访问令牌用于调用用户信息endpoint（使用HTTP头，Authorization:Bearer[access token]），以获取有关最终用户的更多声明/信息。

孩子的“1”值是完全合法的，但它指的是AS/OP和用户信息endpoint不知何故知道的密钥。它不是OpenID Connect JWKSendpoint处的密钥。“1”不是客户端需要知道的密钥，因为客户端不应该直接验证访问令牌。