忽略 JWT Bearer 令牌签名（即不验证令牌）

Question

我有一个位于 API 网关后面的 API。 API Gateway 在将请求传递给 API 之前验证承载令牌。

我的 API 使用 asp.net core 2.0 本机身份验证和基于声明的授权框架。从 JWT 令牌获取声明的繁重工作由 Microsoft.AspNetCore.Authentication.JwtBearer 中的中间件完成。

这个中间件可以配置为忽略令牌的过期日期，也可以指定一个本地公钥，这样就不需要联系令牌授权机构来获取一个，但是可以只禁用令牌上的签名验证？

这将允许在开发中使用未签名的令牌进行临时测试，并防止在生产中进行双重验证（网关和 API）。

Answer 1

试试这个。经过这么多尝试，我终于让它工作了。

public TokenValidationParameters CreateTokenValidationParameters()
{
    var result = new TokenValidationParameters
    {
        ValidateIssuer = false,
        ValidIssuer = ValidIssuer,

        ValidateAudience = false,
        ValidAudience = ValidAudience,

        ValidateIssuerSigningKey = false,
        
        //IssuerSigningKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(SecretKey)),
        //comment this and add this line to fool the validation logic
        SignatureValidator = delegate(string token, TokenValidationParameters parameters)
        {
            var jwt = new JwtSecurityToken(token);

            return jwt;
        },

        RequireExpirationTime = true,
        ValidateLifetime = true,

        ClockSkew = TimeSpan.Zero,
    };

    result.RequireSignedTokens = false;

    return result;
}

Answer 2

我能够稍微清理一下代码，表明我们可以只更改标志并且在设置标志时更加一致。

services.AddAuthentication(o =>
{
    o.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    o.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
    .AddJwtBearer(o =>
    {
        o.RequireHttpsMetadata = false;
        o.SaveToken = true;
        o.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = false,
            ValidateAudience = false,
            ValidateIssuerSigningKey = false,
            ValidateLifetime = false,
            RequireExpirationTime = false,
            RequireSignedTokens = false
        };
    });

Answer 3

您可以使用JwtBearerOptions.TokenValidationParameters 设置令牌验证。您可以从the class definition 查看所有可用参数。

包含一组参数，供 Microsoft.IdentityModel.Tokens.SecurityTokenHandler 在验证 Microsoft.IdentityModel.Tokens.SecurityToken 时使用。

如果您想完全禁用验证，请将所有 ValidateXXX 和 RequireXXX 布尔属性设置为 false：

.AddJwtBearer("<authenticationScheme>", configureOptions =>
{
   options.TokenValidationParameters.ValidateActor = false;
   options.TokenValidationParameters.ValidateAudience = false;
   options.TokenValidationParameters.ValidateIssuerSigningKey = false;
   ...
}

---

作为另一种选择，您可以通过将自己的实现设置为 JwtBearerOptions.SignatureValidator 来覆盖默认令牌签名验证：

// Gets or sets a delegate that will be used to validate the signature of the token.
//
// Remarks:
//  If set, this delegate will be called to signature of the token, instead of normal
//  processing.
public SignatureValidator SignatureValidator { get; set; }

其中SignatureValidator委托定义为：

public delegate SecurityToken SignatureValidator(string token, TokenValidationParameters validationParameters);