Azure公钥解释？

Question

我正在更新我的应用程序，以便将Azure Active Directory用作OAuth 2.0身份验证服务器。目前，我正在成功地使用授权代码授予类型，并收到access_token和id_token值。

现在，我正在尝试验证返回的id_令牌。我正在遵循doco中概述的步骤，并且我能够找到用于签署JWT的公钥。例如，这是Azure RESTendpoint返回的记录

据我所知，这些是可用的公钥。我可以将其筛选为一个（使用返回的JWT头中的kid值）。但我很难理解的是每个领域都代表着什么。

我是否使用n/e字段为SHA256公钥创建模数和指数值？我是否打算使用x5c值来代替？很抱歉，如果这是一个明显的问题，但是有没有关于如何为它创建公钥的文档，给定上述值？我是用Java来做这件事的，所以任何与之相关的东西都将不胜感激。

Answer 1

这里有一个类似的问题，我发布并得到了帮助，这可能会有所帮助。我认为您需要使用x5c，它是完整的证书链，并从中获取公钥以验证JWT的签名。模和指数（n和e）将只生成证书链中第一个证书的公钥，但这不足以验证签名。

以下是我用来从endpoint提取公钥的一些代码片段。AzurePublicKey类只是json的POJO。

private PublicKey convertKey(AzurePublicKey azKey) {
    PublicKey publicKey = null;

    BigInteger modulus = new BigInteger(1, Base64.getUrlDecoder().decode(azKey.getN()));
    BigInteger exponent = new BigInteger(1, Base64.getUrlDecoder().decode(azKey.getE()));

    try {
        publicKey = KeyFactory.getInstance("RSA").generatePublic(new RSAPublicKeySpec(modulus, exponent));

        // load cert
        CertificateFactory factory;
        X509Certificate cert = null; 
        try {
            factory = CertificateFactory.getInstance("X.509");
            cert = (X509Certificate) factory.generateCertificate(new ByteArrayInputStream(DatatypeConverter.parseBase64Binary(azKey.getX5c().iterator().next())));
        } catch (CertificateException e) {
            e.printStackTrace();
        }

        // grab public key
        publicKey = (RSAPublicKey)cert.getPublicKey();

        System.out.println("[");
        System.out.println("kid : " + azKey.getKeyIdentifier());
        System.out.println("e : " + azKey.getE());
        System.out.println("n : " + azKey.getN());

        System.out.println("Maybe this : " + DatatypeConverter.printBase64Binary(publicKey.getEncoded()) );
        System.out.println("]");

    } catch (InvalidKeySpecException | NoSuchAlgorithmException e) {
        // TODO Auto-generated catch block
        e.printStackTrace();
    }

    return publicKey;
}

以及使用该公钥使用JJWT库验证签名的代码。

Jws<Claims> claims = Jwts.parser()
                                .setSigningKeyResolver(signingKeyResolver)
                                .parseClaimsJws(token.replace(TOKEN_PREFIX, ""));


        String issuer   = claims.getBody().getIssuer();
        if(issuer == null || !VALID_ISSUERS.contains(issuer))
            throw new IncorrectClaimException(claims.getHeader(), claims.getBody(), "Invalid Issuer in Token.", new Throwable("Invalid Issuer in Token."));

SigningKeyResolverImpl仅根据令牌头的kid提供正确的公钥。如果解析没有引发异常，您可以根据您期望的值验证令牌声明，因为我已经根据我期望的有效\u发行者列表验证了发行者。

已经有一段时间了，所以我很模糊，但我希望这能有所帮助。

Answer 2

为了验证id_token的签名，如果您使用C#开发，我们可以使用JwtSecurityTokenHandler类。对于代码示例，您可以参考JsonWebTokenValidator.cs来使用这个类。为了方便起见，我也在这里复制这个类：

 public class JsonWebTokenValidator
{
    public JwtSecurityToken Validate(string token)
    {
        string stsDiscoveryEndpoint = "https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration";

        ConfigurationManager<OpenIdConnectConfiguration> configManager = new ConfigurationManager<OpenIdConnectConfiguration>(stsDiscoveryEndpoint);

        OpenIdConnectConfiguration config = configManager.GetConfigurationAsync().Result;

        TokenValidationParameters validationParameters = new TokenValidationParameters
        {
            ValidateAudience = false,
            ValidateIssuer = false,
            IssuerSigningTokens = config.SigningTokens,
            ValidateLifetime = false
        };

        JwtSecurityTokenHandler tokendHandler = new JwtSecurityTokenHandler();

        SecurityToken jwt;

        var result = tokendHandler.ValidateToken(token, validationParameters, out jwt);

        return jwt as JwtSecurityToken;
    }
}