下载和缓存用于令牌验证的公共签名密钥的良好算法

Question

在武士刀 web api 中，我正在使用：

appBuilder.UseIdentityServerBearerTokenAuthentication(
    new IdentityServerBearerTokenAuthenticationOptions
    {
        Authority = "https://...",
        ValidationMode = ValidationMode.Local,
        RequiredScopes = new[] { "..." },
    });

这似乎很好地找到了来自权威机构的公共签名密钥并（希望？）缓存它们等。虽然我没有尝试过，但我知道 ASP.NET Core 有一个等价物。

现在我需要做同样的事情，但不是在 web api 中间件中。 所以我试图找到 IdentityServer3.AccessTokenValidation.IdentityServerBearerTokenValidationMiddleware 用来执行此操作的代码。 我只能看到它调用了 UseOAuthBearerAuthentication，它似乎在 Microsoft.Owin.Security.OAuth 中。 我一直无法找到似乎与签名匹配的源代码版本。

在我看来，在幕后，有人可能正在使用 System.IdentityModel.Tokens.JwtSecurityTokenHandler 并将一小段代码放入 TokenValidationParameters 的 IssuerSigningKeyResolver 中。 那个漂亮的小片段是从元数据地址获取签名密钥。 任何人都知道该代码是什么，或者有一段运行良好的代码吗？ 显然，我可以写它，但我讨厌重新发明轮子，而且我的不会经过测试。

Answer 1

我们正在使用插入JWT处理程序的此类：

https://github.com/IdentityServer/IdentityServer3.AccessTokenValidation/blob/master/source/AccessTokenValidation/Plumbing/DiscoveryDocumentIssuerSecurityTokenProvider.cs

Answer 2

谢谢，最少特权。 深入研究您的DiscoverydocumentIssuerSecurityTokenProvider类，我发现ConfigurationManager<OpenIdConnectConfiguration> 。 使用它，我提出了以下帮助程序类，用于在OWIN中间件之外进行访问令牌验证。

征求反馈！

using Microsoft.IdentityModel.Protocols;
using System;
using System.Collections.Generic;
using System.IdentityModel.Tokens;
using System.IO;
using System.Linq;
using System.Net.Http;
using System.Security.Claims;

namespace WpfClient
{
    public class AccessTokenValidator
    {
        protected TokenValidationParameters _accessTokenValidationParameters;

        public AccessTokenValidator(string stsRoot)
        {
            stsRoot = stsRoot.TrimEnd('/');
            var discoveryEndpoint = stsRoot + "/.well-known/openid-configuration";
            var webHandler = new WebRequestHandler();
            var httpClient = new HttpClient(webHandler);
            var configurationManager = new ConfigurationManager<OpenIdConnectConfiguration>(discoveryEndpoint, httpClient);
            _accessTokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidIssuer = stsRoot,
                RequireSignedTokens = true,
                ValidateIssuerSigningKey = true,
                IssuerSigningKeyResolver = (string token, SecurityToken securityToken, SecurityKeyIdentifier keyIdentifier, TokenValidationParameters validationParameters) => {
                    var signingTokens = configurationManager.GetConfigurationAsync().Result.JsonWebKeySet.GetSigningTokens();
                    foreach (var signingToken in signingTokens)
                    {
                        foreach (var clause in keyIdentifier)
                        {
                            var key = signingToken.ResolveKeyIdentifierClause(clause);
                            if (key != null)
                            {
                                return key;
                            }
                        }
                    }
                    return null;
                },
                RequireExpirationTime = true,
                ValidateAudience = false, // See https://github.com/IdentityServer/IdentityServer3/issues/1365: "OAuth2 does not use the term 'audience' ... it instead uses the term 'scope' ... 'audience' and the 'aud' claim are JWT specific concepts."
                ValidateLifetime = true,
            };
        }

        public void ValidateAccessToken(string accessToken, IEnumerable<string> requiredScopes, IEnumerable<string> requiredRoles)
        {
            ClaimsPrincipal claimsPrincipal;
            SecurityToken securityToken;

            var handler = new JwtSecurityTokenHandler();
            claimsPrincipal = handler.ValidateToken(accessToken, _accessTokenValidationParameters, out securityToken);
            if (claimsPrincipal == null)
            {
                throw new NullReferenceException("ClaimsPrincipal object returned is null");
            }

            RequireClaims("scope", requiredScopes, claimsPrincipal);
            RequireClaims("role", requiredRoles, claimsPrincipal);
        }

        private static void RequireClaims(string type, IEnumerable<string> requiredValues, ClaimsPrincipal claimsPrincipal)
        {
            if (requiredValues != null)
            {
                var haveClaims = claimsPrincipal.FindAll(type);

                var missingRequiredValues = requiredValues.Where(s => !haveClaims.Any(c => c.Value.Equals(s, StringComparison.InvariantCultureIgnoreCase))).ToArray();
                if (missingRequiredValues.Any())
                {
                    var list = string.Join(", ", missingRequiredValues);
                    throw new InvalidDataException($"Missing required {type} claims: {list}");
                }
            }
        }
    }
}

Answer 3

我喜欢 helper class 的想法，但jon-brichoux 的实现仍然有很多代码（例如迭代 signingTokens），您认为这些代码将由库处理。 微软的库也有很多可靠的代码，包括定期刷新密钥。 该实现看起来与 Microsoft 在动态获取用于验证的安全密钥中推荐的类似。

一篇博文， 使用 .NET 手动验证 JWT很好，但它会访问服务器并在每次验证时获取元数据。 这是我想出的，似乎按预期工作。

您将需要引用 Microsoft.IdentityModel.Protocols.OpenIdConnect 和 Microsoft.IdentityModel.Protocols NuGet 包。

public class JwtTokenValidator
{
    protected static TokenValidationParameters _validationParameters;

    public JwtTokenValidator(string metadataAddress, string audience)
    {
        _validationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidAudience = audience,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ConfigurationManager = new ConfigurationManager<OpenIdConnectConfiguration>(metadataAddress, new OpenIdConnectConfigurationRetriever()),
        };
    }

    public void ValidateToken(string token)
    {
        var jsonWebTokenHandler = new JsonWebTokenHandler();
        var tokenValidationResult = jsonWebTokenHandler.ValidateToken(token, _validationParameters);
        if (!tokenValidationResult.IsValid)
        {
            // Handle each exception which tokenValidationResult can contain as appropriate for your service
            // Your service might need to respond with a http response instead of an exception.
            if (tokenValidationResult.Exception != null)
                throw tokenValidationResult.Exception;

            throw new InvalidOperationException("invalid token"); // TODO: throw an application-appropriate exception
        }
    }
}

用法：

// cache single instance at application initialization
JwtTokenValidator jwtTokenValidator = new JwtTokenValidator($"https:.../.well-known/openid-configuration", "[audience]"); 


// live check in controller or wherever 
jwtTokenValidator.ValidateToken("eyJ0eX...");