检查/解码 auth0 访问令牌

Question

我需要知道访问令牌中的剩余时间，而不是 ID 令牌或浏览器流的令牌。检查http://www.jwt.io 上令牌的到期时间总是返回 24 小时。但是，API 的访问令牌应该比这更长。如何查看过期日期？

Answer 1

如果授权服务器提供了一个端点来获取有关令牌的信息（理想的情况是拥有an Introspection endpoint as per the RFC7662），那么很容易获得这些信息。

否则，如果没有可用的端点，您必须将访问令牌响应的expires_in 参数中的值保存在内存中（请参阅RFC6749 section 4.1.4）并将当前时间戳添加到该值以获得到期时间戳.

请注意，您收到的访问令牌可能会被授权服务器撤销，因此令牌将在该到期时间之前无效。

如果访问令牌是签名的 Json Web 令牌（JWS - 请参阅 RFC7515），则另一种可能性是，您可以解析令牌并检查 exp 声明（可选，但通常存在于此类上下文中）。