验证JWT令牌签名

Question

我目前正在使用Vapor开发Swift后端。我的iOS客户端使用新的iOS 13功能“使用Apple登录”。当用户登录时，我会得到一个身份令牌（访问令牌），这是一个由Apple签名的有效JWT令牌。这将在所有正在进行的通信中发送到服务器，以验证服务器提供的某些路由。

在服务器上，我想通过验证令牌签名来验证发送的令牌是否确实由Apple签名，并且不是由某些恶意用户专门创建的。Apple提供了一个HTTP终结点来检索公钥来完成此操作：Apple文档。

然而，我不确定我必须多久查询一次这个endpoint来从应用编程接口中检索模数和指数，并构建公钥来验证签名。查询一次并将公钥存储在服务器上就可以使用它了吗？或者在验证签名（针对每个受保护的路由）之前，我需要在中间件中查询HTTP终结点吗？

基本上我不确定模数和指数是否会不时变化。

Answer 1

您可以这样做：

• 获取一次公钥，将其存储在服务器上
• 请求进来，尝试使用存储的公钥验证签名
• 如果失败，再次获取公钥，存储它
• 尝试第二次验证签名

这将允许您在必要时尽快了解更改的公钥。