在“Ruby On Rails API：身份验证”上重现 Auth0 指令时出错

Question

我成功使用了快速入门“Ruby On Rails API: Authentication”。创建了一个 API，一切正常。然后我尝试重新创建代码，但将所有这些都包含在现有的 Rails 应用程序中并出现错误。

演示（之前为我工作）包括对 JWT gem 的调用：

JWT.decode(token, nil, # <----
    true, # Verify the signature of this token
    algorithm: "RS256",
    iss: "https://" + ENV["AUTH0_DOMAIN"],
    verify_iss: true,
    aud: ENV["AUTH0_AUDIENCE"],
    verify_aud: true)

在演示中分配了 nil 的第二个参数有效，但在我的项目中导致我出现 JWT 错误，了解用于 public_key 的参数不应该为空。但它在演示中为 null 并且有效（更新：nil 消息似乎来自另一个对象引用）。我是 JWT 事务的新手。

错误信息：

undefined method `verify' for nil:NilClass
  /usr/local/bundle/gems/jwt-2.2.1/lib/jwt/security_utils.rb:20:in `verify_rsa'

-------------------------------
Backtrace:
-------------------------------

  /usr/local/bundle/gems/jwt-2.2.1/lib/jwt/security_utils.rb:20:in `verify_rsa'
  /usr/local/bundle/gems/jwt-2.2.1/lib/jwt/algos/rsa.rb:15:in `verify'
  /usr/local/bundle/gems/jwt-2.2.1/lib/jwt/signature.rb:44:in `verify'
  /usr/local/bundle/gems/jwt-2.2.1/lib/jwt/decode.rb:42:in `verify_signature'
  /usr/local/bundle/gems/jwt-2.2.1/lib/jwt/decode.rb:26:in `decode_segments'
  /usr/local/bundle/gems/jwt-2.2.1/lib/jwt.rb:28:in `decode'
  /api/lib/json_web_token.rb:10:in `verify'
  /api/app/controllers/concerns/secured.rb:71:in `auth_token'
  /api/app/controllers/concerns/secured.rb:50:in `authenticate_request!'

json_web_token.rb 和 secured.rb 与示例相同。 jwt-2.2.1 在两种环境中使用的 gem 版本相同。

我发现演示环境和​​我的旧项目之间的唯一区别是 Rails 版本，演示中的 5 和我的 4.x。我现在无法升级，所以如果你认为我做错了另一件事，那会很有帮助。

更新 2：包括示例代码

我在这里包含了 jwks_hash 方法的代码，这在两种环境中都是相同的。我只是在原始文件中添加了记录器行。您可以在下面看到两种环境的输出差异。

def self.jwks_hash
    Rails.logger.warn '---> hashing'
    Rails.logger.warn "https://#{Rails.application.secrets.auth0_domain}/.well-known/jwks.json"
    jwks_raw = Net::HTTP.get URI("https://#{Rails.application.secrets.auth0_domain}/.well-known/jwks.json")
    Rails.logger.warn jwks_raw
    jwks_keys = Array(JSON.parse(jwks_raw)['keys'])
    Rails.logger.warn '---> jwks_keys'
    Rails.logger.warn jwks_keys  # Check output of this below ????
    Hash[
      jwks_keys
      .map do |k|
        [
          k['kid'],
          OpenSSL::X509::Certificate.new(
            Base64.decode64(k['x5c'].first)
          ).public_key
        ]
      end
    ]
  end

工作演示中的输出：

W, [...]  WARN -- : [{"alg"=>"RS256", "kty"=>"RSA", "use"=>"sig", "n"=>"yDsoJbr45jlrCDQSu8X6ZAko......"]}]

W, [...]  WARN -- : {"alg"=>"RS256", "typ"=>"JWT", "kid"=>"YHEH94lH9itYZUhLx3hee"}

我的项目中的输出：

W, [...]  WARN -- : [{"alg"=>"RS256", "kty"=>"RSA", "use"=>"sig", "n"=>"yDsoJbr45jlrCDQSu8X6ZAko......"]}]

W, [...]  WARN -- : [{"alg"=>"RS256", "kty"=>"RSA", "use"=>"sig", "n"=>"yDsoJbr45jlrCDQSu8X6ZAko......"]}]

第二个元素是我能找到的运行之间的唯一区别。

Answer 1

我通过解决方法解决了这种情况。我使用 gem json-jwt 而不是 jwt 并修改我的代码结尾如下：

expected_iss = 'https://'+ENV['AUTH0_DOMAIN']+'/'
expected_aud = ENV['AUTH0_AUDIENCE']

begin
    jwk_set = JSON::JWK::Set.new(
        JSON.parse(Net::HTTP.get URI(ENV['AUTH0_RSA_DOMAIN']))
        )
    id_token = JSON::JWT.decode token, jwk_set
    unless (id_token[:iss] == expected_iss) # && id_token[:aud] == expected_aud)
    #raise 'ID Token Verification Failed!'
    false
end

Answer 2

该演示在函数self.jwks_hash 中获取一个公钥，公钥似乎是nil，查看抛出错误security_util.rb 的文件。因此，您似乎缺少获取公钥的步骤。

当您使用 RS256 或其他算法进行编码时，您需要使用密钥进行解码。只有当您使用'none' 时，您才不需要密钥来解码。在the docs 上查看更多信息。