用于验证 FusionAuth HS256 签名 id 令牌的 Java 代码

Question

如何使用 FusionAuth java Client 库验证 HS256 ID Token？

描述：我在 FusionAuth 中创建了一个应用程序，它生成了一个客户端 ID 和客户端密码，我没有触及任何其他部分/选项卡，如 JWT 等，默认 JWT 签名算法是 OIDC 标准 HMAC SHA256。

我尝试使用以下代码方法基于公钥验证令牌，但它不适用于 HS256 签名令牌，我在互联网上搜索发现公钥不适用于 HS256

能否请您提供一个 Java 代码，以使用 FusionAuth Java 客户端库 (https://github.com/FusionAuth/fusionauth-jwt) 验证 HS256 签名令牌。 也请告诉我是否需要在 FusionAuth 管理控制台上进行任何其他配置。

我尝试过的代码：它给出了空白的公钥。

List<JSONWebKey> keys = JSONWebKeySetHelper.retrieveKeysFromJWKS("http://localhost:9011/.well-known/jwks.json");

Map<String, Verifier> publicKeyVerifiers = new HashMap<String, Verifier>();

JWT jwtDecoded = JWT.getDecoder().decode(idToken, publicKeyVerifiers);

Answer 1

应用收到的令牌通常应使用非对称密钥进行签名。然后，您可以使用通过 JWKS 端点提供的签名公钥来验证令牌的数字签名。令牌最主流的算法是RS256。也许您需要按照建议 here? 重新配置。我认为你的代码也可以工作。

HS256 是一种对称算法，感觉不对，因为客户端只有拥有完整的签名密钥才能验证 JWT。这使得恶意客户端能够铸造他们自己的令牌，而只有授权服务器才能做到这一点。因此，如果 JWT 曾经使用对称密钥进行签名，JWKS 端点将不会提供令牌签名密钥。

意思是说 Curity 有一个很好的相关文档：

• JWT Best Practices

Answer 2

README 中似乎有一个示例：

// Build an HMC verifier using the same secret that was used to sign the JWT
Verifier verifier = HMACVerifier.newVerifier("too many secrets");

// Verify and decode the encoded string JWT to a rich object
JWT jwt = JWT.getDecoder().decode(encodedJWT, verifier);

// Assert the subject of the JWT is as expected
assertEquals(jwt.subject, "f1e33ab3-027f-47c5-bb07-8dd8ab37a2d3");

https://github.com/FusionAuth/fusionauth-jwt#verify-and-decode-a-jwt-using-hmac

使用 HMAC 签名，您需要将密钥（上例中的 "too many secrets"）分发到所有需要验证 JWT 的位置。