如何在不使用库的情况下在本机 Javascript 中验证 Azure OAuth 访问 JWT 令牌？

Question

我有一个 OAuth 访问令牌（来自 Azure）。 我想验证签名。

我已经解码了令牌

标题

{
  "typ": "JWT",
  "alg": "RS256",
  "x5t": "abc123",
  "kid": "abc123"
}

和有效载荷

{
  "aud": "api://xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "iss": "https://sts.windows.net/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/",
  "iat": 1580132587,
  "nbf": 1580132587,
  "exp": 1580136487,
  "acct": 0,
  "acr": "1",
  "aio": "xxxxxxxxxxxxxxxxxxxxxxxx/xxxxxxxxxxxxxxxxxxxxxxxxx==",
  "amr": [
    "pwd"
  ],
  "appid": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxf",
  "appidacr": "0",
  "ipaddr": "yyy.yyy.yyy.yyy",
  "name": "test",
  "oid": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "scp": "user_impersonation",
  "sub": "xxxxxxxxxxxxxxxxxxxxxxxxxxx",
  "tid": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "unique_name": "test@mycompany.onmicrosoft.com",
  "upn": "test@mycompany.onmicrosoft.com",
  "uti": "xxxxxxxxxxxxx-xxxxxxxxx",
  "ver": "1.0"
}

（在验证目标受众（aud）之后）我需要验证签名。 为此，我首先需要计算签名。 要做到这一点

1. 我需要调用 Azure 元数据文档来确认标头中的公钥。

https://login.microsoftonline.com/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/v2.0/.well-known/openid-configuration

2. 从中我得到公钥（JWKS URI），例如

https://login.microsoftonline.com/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/discovery/v2.0/keys

3. 这给了我一个数组

   [{ "kty": "RSA", "use": "sig", "kid": "abc123", "x5t": "abc123", "n": "...", "e": "...", "x5c": [..."], "issuer": " https: //login.microsoftonline.com/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/v2.0" }, { "kty": "RSA", "use": "sig", "kid": "...", "x5t": "...", "n": "....", "e": "...", "x5c": ["."], "issuer": "https://login.microsoftonline.com/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/v2.0" }, ]

4. 我检查kid和x5t匹配的头字段。

问题

1. 如何计算实际签名？ 在我的情况下，签名算法是 RS256，所以我必须做这样的事情

RSASHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), public_key)

2. 什么是public_key？
3. 在原生 Javascript 中是否有函数 RSASHA256 ？

Answer 1

获取与收到的令牌的孩子匹配的 x5t。 这是公钥，尽管它通常需要转换为 PEM 格式。

大多数人然后使用经过认证的库来验证带有公钥的签名。 这是我的一些代码，用于验证 Azure 令牌。

我认为原生 JavaScript 指的是 NodeJS，因为访问令牌是通过 API 而不是 UI 验证的。

最终，我相信像 jsonwebtoken 这样的库调用底层操作系统加密代码 - 不适合胆小的人..