在客户端验证ID令牌

Question

我正在努力将OAuth 2.0实施到一堆应用程序中，以减少所需的登录凭据。 但是，我在理解OAuth 2.0之上的OpenID Connect以及如何验证给定的JWT令牌方面感到吃力。 是否应该在实际令牌中提供公钥，以便客户端可以检查签名？

另外，如果我错了，请纠正我，但是我相信此令牌永远不会发送到资源服务器，而是充当客户端的“帮助之手”，以便客户端根据令牌中给出的信息向用户提供正确的输出？ 如果是这样，是否存在关于每个JWT应包含的信息类型的一套标准？

Answer 1

身份令牌在成功令牌响应（通常是JWT）之后发送。

ID令牌验证在第3.1.3.7节中介绍。 ID令牌验证。

对于使用RSA或EC签名保护的 ID令牌（例如RS256），您需要IdP的公共JSON Web密钥（JWK）集。 它作为简单的JSON文档发布在URL上，该URL也在jwks_uri参数的OpenID提供程序的元数据中发布。 您可以查看Google的JSON Web密钥（JWK），以了解诸如JWK set之类的内容。

对于使用HMAC （例如HS256） 保护的ID令牌，请使用client_secret进行验证。