如何使用 Azure AD 对第三方应用程序的用户进行身份验证？

Question

我之前没有接触过 AAD，但我必须使用它来验证我的 REST 服务的用户。

我有一个移动客户端，可以使用 OAuth2 对 AAD 上的用户进行身份验证。因此，它有一个不记名令牌。 此不记名令牌移动客户端应在请求受保护的 REST 服务时用作参数。
REST 服务是一个基于 Java 的应用程序（spring-boot），它在 AAD 中注册为 Web 应用程序，但我找不到如何连接到 AAD 以检查令牌是否有效的方法。 我希望有类似 /oauth2/check_token 端点可以获取令牌值并返回用户数据，但我没有找到任何东西。

是否可以使用 AAD 对第三方应用程序的用户进行身份验证，如果可以，如何做？

Answer 1

AAD 发行的令牌是签名的 JWT 令牌。您无需与 AAD 通信即可验证令牌是否有效。如果您信任颁发者 (AAD) 并且令牌有效（正确的受众、有效的签名、未过期等），则您接受令牌中的声明。

有关验证 JWT 令牌的步骤，请参阅 this article。