如何验证 Azure 活动目录中刷新的 id_token 的签名

Question

我们正在使用 Azure 活动目录 Oauth 代码流对用户进行身份验证。 我们使用代码获得了 access_token、id_token 和 refresh_token（在重定向 URL 上获得）。 认证成功后，我们使用 id_token 对每个请求进行授权，我们可以使用从/discovery/v2.0/keys api 获得的公钥来验证 JWT。

现在，JWT 将在 1 小时后过期。所以我们需要刷新这个 id_token。

我正在使用下面的 cURL 刷新 id_token

 curl --request POST \
  --url https://login.microsoftonline.com/{tenant_id}/oauth2/token \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data 'client_id=client%20id&refresh_token=refesh%20token%20&grant_type=refresh_token&client_secret=client_secret&scope=openid

在这个API的响应中，我们得到了access_token，refresh_token，id_token，但是如果你观察id_token，它不包含JWT签名（JWT的第三部分），没有签名我们无法验证JWT

我们找不到任何文档参考为什么 id_token 没有签名部分。 还有其他方法可以刷新 id_token 吗？ 如果 id_token 无法刷新，有什么解决办法吗？

Answer 1

在某些情况下，可能会在没有签名的情况下返回 Id 令牌，特别是如果它是通过带有客户端密码的反向通道获取的。 您已经从权威机构通过加密通道获取令牌。 如果有人能够在那里注入一些东西，他们也将能够指导您的应用程序对 OpenID 元数据的请求，从而替换您的应用程序期望的签名密钥。 因此签名不会在这里增加太多价值。

此外，您不会将 Id 令牌发送到任何 API，因为 Id 令牌不应用于授权。 这就是访问令牌的用途:)

OpenID Connect 规范是这样说的：https://openid.net/specs/openid-connect-core-1_0.html#IDTokenValidation

如果通过客户端和令牌端点（在此流程中）之间的直接通信接收到 ID 令牌，则可以使用 TLS 服务器验证来验证颁发者，而不是检查令牌签名。客户端必须使用 JWT alg 标头参数中指定的算法根据 JWS [JWS] 验证所有其他 ID 令牌的签名。客户端必须使用颁发者提供的密钥。

但是，有趣的是也提到了这一点：https://openid.net/specs/openid-connect-core-1_0.html#IDToken

ID 令牌必须使用 JWS 进行签名，并且可以选择分别使用 JWS 和 JWE 进行签名和加密，从而根据第 16.14 节提供身份验证、完整性、不可否认性和可选的机密性。如果 ID 令牌已加密，则必须对其进行签名然后加密，结果是嵌套 JWT，如 [JWT] 中所定义。 ID 令牌不得使用 none 作为 alg 值，除非使用的响应类型从授权端点返回没有 ID 令牌（例如在使用授权代码流时）并且客户端在注册时明确请求使用 none。

所以.. 可能是 Azure AD 不符合规范？

编辑：Azure AD 的 v1 端点在这方面不兼容。较新的 v2 端点完全兼容 OpenID Connect。