如何使用IdentityServer4验证x509签名凭据

Question

我有两个.Net Core API-一个使用IdentityServer4发行JWT身份令牌的授权服务器，以及一个受保护并需要该令牌的资源API。

身份验证服务器正在使用自签名的x509证书（目前）。

在身份验证服务器中，我在ConfigureServices ：

var certificate = new X509Certificate2(//path.to.my.certificate//);
services.AddIdentityServer().AddSigningCredential(certificate)

但是我对资源API如何验证签名凭据的理解尚不清楚。

我在ConfigureServices对于资源API的所有内容是：

services.AddAuthentication(IdentityServerAuthenticationDefaults.AuthenticationScheme)
                    .AddIdentityServerAuthentication(
                    options =>
                    {
                        options.Authority = "//MyAuthAPI";
                    });

资源API是否应该使用相同的证书来验证JWT令牌？ 那有必要吗？

如果是这样，应该怎么做？

Answer 1

基本上，ASP.Net Core中间件从https://{yourDomain}/.well-known/openid-configuration下载身份提供者配置，这是您的options.Authority https://{yourDomain}/.well-known/openid-configuration 。 如果您实际导航到一个子URL https://{yourDomain}/.well-known/openid-configuration/jwks ，您还将看到身份提供者发布了用于签名令牌的公共密钥。

通过获取公共密钥，中间件能够使用常规的非对称加密验证方法，使用api请求中包含的标头（ Authorize : Bearer {token} ）来验证令牌是否确实由预期的授权机构uri发行。