OpenID Connect - 在没有呼叫身份提供者 (IdP) 的客户端上进行令牌验证

Question

我正在寻找一种无需调用 IdP 即可验证 ID 令牌的方法。客户端应用程序和 IdP 在受控环境中运行。出于这个原因，我想直接在我的中间件中验证 Keycloak 提供的来自 OIDC 的访问令牌。出于性能原因，我不想再次从 Keycloak 调用 OIDC 端点来验证现有的 id/访问令牌。

这可能吗？ 中间件需要什么信息？

PS 我正在寻找一个 PHP 实现 :)

Answer 1

如果您可以在客户端中包含公共签名密钥，那么您可以离线验证所有令牌。有很多 JWT 令牌库可以为您做到这一点。

最常见的情况是客户端下载了公钥，但没有什么能阻止您将它包含在客户端中。请注意，如果您更新 Keycloak 中的密钥，您也会更新客户端密钥。

为了识别用户，通常使用经典会话 cookie。在用户登录后，使用 cookie 是一种经过验证且安全的方式来识别用户。假设您以正确的方式保护 cookie。 （同站点，安全，httponly）

这是一个关于该主题的好视频：

• alert‘OAuth 2 0’; // The impact of XSS on OAuth 2 0 in SPAs