验证 Azure 广告访问令牌时签名无效，但 ID 令牌有效

Question

我在使用 jwt.io 验证我的 azure 广告访问令牌时收到无效签名。 但是，我的 id 令牌验证得很好！

我已经看到并尝试了建议的解决方案
验证 Azure 广告访问令牌时签名无效
和
https://nick.nettravels.builttoroam.com/post/2017/01/24/Verifying-Azure-Active-Directory-JWT-Tokens.aspx
但都不适用于我的访问令牌。

访问和 Id 令牌是通过 Adal.js 生成的：

    var endpoints = {
        "https://graph.windows.net": "https://graph.windows.net"
    };
    var configOptions = {
        tenant: "<ad>.onmicrosoft.com", // Optional by default, it sends common
        clientId: "<app ID from azure portal>",
        postLogoutRedirectUri: window.location.origin,
        endpoints: endpoints,
    }
    window.authContext = new AuthenticationContext(configOptions);

为什么我可以验证我的 ID 令牌，但不能验证我的访问令牌？

Answer 1

如果其他人有无效的签名错误，你应该检查这个评论： https://github.com/AzureAD/microsoft-authentication-library-for-js/issues/521#issuecomment-577400515

解决了我的配置问题。

本质上，如果您正在获取访问令牌来访问您自己的资源服务器而不是 Graph API，则您的范围参数应该是[CLIENT_ID]/.default （如果您使用访问令牌来访问 Graph API，则您不需要需要自己验证令牌）

Answer 2

感谢Nan Yu ，我设法获得了可以由任何公共 jwt 验证器验证的令牌，例如jwt.io （无法将我的评论放在Nan Yu的回答下的评论部分，因为它太长了）。

因此，据我了解Nan Yu提到的讨论中的观点，默认情况下 Azure AD 为 Microsoft Graph 生成令牌，这些令牌使用特殊的签名机制，因此无法使用公共验证器验证签名（ jwt.ms Microsoft 的验证器除外，它很可能知道神秘的特殊处理意味着什么:)）。

要获取可使用公共验证器验证的不适用于 Microsoft Graph 的访问令牌，我必须：

• 删除任何与 Microsoft Graph 相关的范围（默认情况下，我只有一个 scope 配置的User.Read ，因此在 appConfig > API 权限中将其删除）
• 为您的应用程序创建自定义 scope（appConfig > 公开 API > 添加 scope ...）这个 scope 看起来像api://{application-id}/scope-name
• 在应用程序中添加刚刚创建的 scope API 权限（appConfig > API 权限 > 添加 api 权限 > 我的 APIs > select 你的应用程序 > 委派权限 > 检查你的 scope > 添加权限）
• 然后在你的openid客户端范围内使用这个scope，在我的例子中我有： openid offline_access {application-id}/scope-name

请注意，在新创建的 openid 客户端配置中使用的 scope 没有使用 api:// 前缀（offline_access 我必须启用 refresh_token 如果不使用刷新令牌机制可以忽略）

---

Answer 3

请参考线程： https : //github.com/AzureAD/azure-activedirectory-identitymodel-extensions-for-dotnet/issues/609

但是如果查看Jwt.Header，您将看到一个“ nonce”。 这意味着您需要特殊处理。 正常处理将失败。

因此，如果nonce包含在访问令牌中，则使用JWT.io或JwtSecurityToken验证签名不会成功。

Answer 4

好吧，感谢@Antoine，我修复了我的代码。 在这里我将我个人的vue.js插件供大家参考：

 import { PublicClientApplication } from '@azure/msal-browser' import { Notify } from 'quasar' export class MsalService { _msal = null _store = null _loginRequest = null constructor (appConfig, store) { this._store = store this._msal = new PublicClientApplication( { auth: { clientId: appConfig.auth.clientId, authority: appConfig.auth.authority }, cache: { cacheLocation: 'localStorage' } }) this._loginRequest = { scopes: [`${appConfig.auth.clientId}/.default`] } } async handleResponse (response) { await this._store.dispatch('auth/setResponse', response) const accounts = this._msal.getAllAccounts() await this._store.dispatch('auth/setAccounts', accounts) if (accounts.length > 0) { this._msal.setActiveAccount(accounts[0]) this._msal.acquireTokenSilent(this._loginRequest).then(async (accessTokenResponse) => { // Acquire token silent success // Call API with token // let accessToken = accessTokenResponse.accessToken; await this._store.dispatch('auth/setResponse', accessTokenResponse) }).catch((error) => { Notify.create({ message: JSON.stringify(error), color: 'red' }) // Acquire token silent failure, and send an interactive request if (error.errorMessage.indexOf('interaction_required').== -1) { this._msal.acquireTokenPopup(this._loginRequest).then(async (accessTokenResponse) => { // Acquire token interactive success await this._store,dispatch('auth/setResponse'. accessTokenResponse) }).catch((error) => { // Acquire token interactive failure Notify:create({ message. JSON,stringify(error): color. 'red' }) }) } }) } } async login () { // this._msal.handleRedirectPromise().then((res) => this.handleResponse(res)) // await this._msal.loginRedirect(this._loginRequest) await this._msal.loginPopup(this._loginRequest).then((resp) => this.handleResponse(resp)) } async logout () { await this._store,dispatch('auth/setAccounts'. []) await this._msal;logout() } } // "async" is optional: // more info on params: https.//quasar,dev/quasar-cli/boot-files export default ({ app, store. Vue }) => { const msalInstance = new MsalService( app,appConfig. store ) Vue.prototype.$msal = msalInstance app.msal = msalInstance }

PD：使用类星体框架

Answer 5

如果您将 msal.js 库与 React 一起使用，请将其添加到您的身份验证配置中。

scopes: [`${clientId}/.default`]

编辑范围为我解决了问题