是否可以使用密钥库密钥创建 JWT 令牌？

Question

我想使用Key Vault密钥来创建 JWT 令牌，然后对其进行验证。

我使用这段代码：

public static async Task<string> SignJwt()
{
    var tokenHandler = new JwtSecurityTokenHandler();
    var signinKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("this is my custom Secret key for authentication"));
    var tokenDescriptor = new SecurityTokenDescriptor
    {
        Subject = new ClaimsIdentity(new[] { new Claim("id", "1") }),
        Expires = DateTime.UtcNow.AddDays(7),
        SigningCredentials = new SigningCredentials(signinKey, SecurityAlgorithms.HmacSha256Signature)
    };
    var token = tokenHandler.CreateToken(tokenDescriptor);
    return tokenHandler.WriteToken(token);
}

它工作正常。 我在谷歌上搜索了很多，并使用身份扩展 nuget 找到了SigningCredentials的这个片段：

new SigningCredentials(new KeyVaultSecurityKey("https://myvault.vault.azure.net/keys/mykey/keyid", new KeyVaultSecurityKey.AuthenticationCallback(azureServiceTokenProvider.KeyVaultTokenCallback)), "RS256")
{
    CryptoProviderFactory = new CryptoProviderFactory() { CustomCryptoProvider = new KeyVaultCryptoProvider() }
});

但我不清楚AuthenticationCallback到底是什么以及如何实现它以及我是否能够在Azure中的 Web 应用程序或 azure 函数中使用它？

Answer 1

• 首先，JWT 令牌由 3 部分（ Header、Payload 和 Signature ）组成，所有这 3 部分都是Base64UriEncoded。

• 要获得生成标头和有效负载所需的签名，然后按点组合它们。**

• 下面是使用Azure kay Vault验证JWT的示例代码。

const key = await this.keyClient.getKey(this.KEY_NAME);
 const cryptClient = new CryptographyClient(key, new DefaultAzureCredential());
const util =require('util')
const base64 = require('base64url');
const JWT=""
    const jwtHeader = JWT.split('.')[0];
    const jwtPayload = JWT.split('.')[1];
    const jwtSignature = JWT.split('.')[2];
    const signature = base64.toBuffer(jwtSignature)
    const data = util.format('%s.%s', jwtHeader, jwtPayload);
    const hash = crypto.createHash('sha256');
    const digest = hash.update(data).digest()
const verified =await cryptClient.verify("RS256",digest,signature)

• 以下是一些带有相关讨论的 SO 线程。 SO1 、 SO2和SO3