将spring-security-oauth2授权服务器与kid和JWKS一起使用？

Question

根据这里和那里的文档，我设法设置了一个授权服务器，该服务器提供使用非对称密钥签名的JWT访问令牌，资源服务器使用公钥的本地副本在本地验证这些令牌。到现在为止，一直都还不错。

我的最终目标是让资源服务器在授权服务器上使用JWKSendpoint，并使用JWT中的“kid”头在JWKS中查找正确的密钥并在本地进行验证，从而支持密钥轮换。我发现了如何使授权服务器公开JWKSendpoint，以及如何为资源服务器指定密钥集uri。

然而，似乎没有办法

• 在JWKS中发布kid（密钥id）值

有办法做到这一点吗？

Answer 1

当我遇到同样的问题时，我偶然发现了这篇文章。所以我希望它对某些人有用。我不认为这是最好的解决方案，所以也许有人会想出一个更好的答案，我希望像设置一些外部bean的例子。

背景：Jwk存储区正在比较令牌头中的KID与内存中的KID，如果不可用，它将请求已知endpoint

因此，将KID放在JwkSetEndpoint将导致一个json文件，里面有孩子。在这旁边，你需要在jwt令牌的头上得到KID。

我的类中扩展JwtAccessTokenConverter的解决方案

@Override
protected String encode(OAuth2AccessToken accessToken, OAuth2Authentication authentication) {
    String content = null;
    try {
        content = objectMapper.formatMap(getAccessTokenConverter().convertAccessToken(accessToken, authentication));
    } catch (Exception e) {
        throw new IllegalStateException("Cannot convert access token to JSON", e);
    }
    Map<String, String> headers = getJwtHeader();

    String token = JwtHelper.encode(content, signer, headers).getEncoded();
    return token;
}

在KID标头旁边，Tokenstore希望将use标头设置为signing。我还必须重写signer对象，因为我被一个hmac签名者而不是所需的RsaSigner卡住了。

Answer 2

我找到了在jwksendpoint中设置孩子的方法：

@FrameworkEndpoint
public class JwkSetEndpoint {
    private final KeyPair keyPair;

    public JwkSetEndpoint(KeyPair keyPair) {
        this.keyPair = keyPair;
    }

    @GetMapping("/.well-known/jwks.json")
    @ResponseBody
    public Map<String, Object> getKey() {
        RSAPublicKey publicKey = (RSAPublicKey) this.keyPair.getPublic();
        RSAKey key = new RSAKey.Builder(publicKey)
                .keyID("YOUR_KID_HERE")
                .keyUse(KeyUse.SIGNATURE).build();
        return new JWKSet(key).toJSONObject();
    }
}

我没有找到的是在JWT的标题中设置它的方法。