如何在restful环境中缓存Jose4j jwks密钥集

Question

我开始使用jose4j根据它发布的OpenedId Connect jwks验证Azure AD原始jwt令牌。所有这些都在一个宁静的环境中，这意味着没有状态。

为了避免每次请求传入时从头开始重新创建所有对象，从而避免jose4j一次又一次地检索jwk，我希望使用缓存。

我面临的困境是缓存什么：

1. 序列化的json jwks字符串，这样做称为带外验证，失败时获取新的jwks

我想JwtConsumer是最好的。如果这是一个好的选择，有什么想法吗？

由于缓存共享在所有restful请求上，这些请求以多线程方式处理（在Karaf中使用cxf蓝图），Jwt消费者应该是线程安全的。任何人都知道它是否是。

我正在考虑使用ehcache进行缓存，或者使用tid作为键的ConcurrentHashmap进行缓存。

Answer 1

JwtConsumer是线程安全的（只要使用的任何自定义验证器或自定义程序也是线程安全的）。但是，缓存和重用HttpsJwks对象是您将获得绝大多数好处的地方，因为它在内部缓存从jwksendpoint检索到的密钥。坚持使用HttpsJwks将阻止jose4j一次又一次地检索jwksendpoint的内容。