使用 okta-jwt-verifier 验证来自多个前端应用程序（客户端 ID）的访问令牌

Question

我们有 2 个前端应用程序（角度）使用相同的后端 api。是否可以发送一组 clientIds，以便我们可以验证从多个应用程序生成的访问令牌？

const OktaJwtVerifier = require("@okta/jwt-verifier");
const oktaJwtVerifier = new OktaJwtVerifier({
  issuer: 'https://my-okta-domain/oauth2/default',
  clientId: '',
});

module.exports = function oktaAuthorization(req, res, next) {
  const authHeader = req.headers.authorization || "";
  const match = authHeader.match(/Bearer (.+)/);
  const accessToken = match ? match[1] : "";
  return oktaJwtVerifier
    .verifyAccessToken(accessToken, "api://default")
    .then((jwt) => {
      req.app.locals.loggedInUser = jwt.claims.sub;
      next();
    })
    .catch((err) => {
      res.send("unauthorized");
      res.status(401).send("unauthorized");
    });
};

仅供参考-当我使用他们的客户端 ID、发行者或授权 url 时，这两个应用程序都能够连接到后端 api

Answer 1

严格来说，不需要client_id来验证此库的访问令牌。 如果你在你的后端服务器上进行验证，只要观众是正确的，哪个客户端获得了令牌都没有关系。 但我看到您使用的是api://default ，这使得它比您可能想要的范围更广。

在这种情况下我会做什么 - 创建一个自定义的 authZ 服务器并将您的应用程序移动到它下面，这样我在上一段中所说的就会成立。 然后您可以自由地向您的后端服务添加尽可能多的客户，只要他们都共享相同的受众