JwtAuthProviderReader 多个受众

Question

在查看 JwtAuthProviderReader 类时，我注意到在 Audience 属性中配置的受众必须与 JWT 中的 aud 值完全匹配。这有什么具体原因吗？我的 aud 值中有多个值（客户端能够访问多个离散的微服务），并且希望服务器端只关心受众是否包含在该列表中。

来自 Auth0 文档 (https://auth0.com/docs/tokens/id-token)

观众。单个区分大小写的字符串或 URI 或此类值的数组，用于唯一标识此 JWT 的预期接收者。对于 Auth0 颁发的 ID 令牌，这将是您的 Auth0 客户端的客户端 ID。

ServiceStack 源 (https://github.com/ServiceStack/ServiceStack/blob/master/src/ServiceStack/Auth/JwtAuthProviderReader.cs)

public string GetInvalidJwtPayloadError(JsonObject jwtPayload)
    {
        if (jwtPayload == null)
            throw new ArgumentNullException(nameof(jwtPayload));

        var expiresAt = GetUnixTime(jwtPayload, "exp");
        var secondsSinceEpoch = DateTime.UtcNow.ToUnixTime();
        if (secondsSinceEpoch >= expiresAt)
            return ErrorMessages.TokenExpired;

        if (InvalidateTokensIssuedBefore != null)
        {
            var issuedAt = GetUnixTime(jwtPayload, "iat");
            if (issuedAt == null || issuedAt < InvalidateTokensIssuedBefore.Value.ToUnixTime())
                return ErrorMessages.TokenInvalidated;
        }

        if (jwtPayload.TryGetValue("aud", out var audience))
        {
            if (audience != Audience)
                return "Invalid Audience: " + audience;
        }

        return null;
    }

Answer 1

为简单起见，仅支持针对单个受众进行配置、嵌入和验证。但我刚刚在this commit 中添加了对多个受众的支持。

您现在可以在哪里配置具有多个受众的 JWT 提供程序，例如：

new JwtAuthProvider {
    Audiences = { "foo", "bar" }
}

它们都将作为数组嵌入到 JWT 中，如果只有 1 个受众，它将继续作为字符串嵌入。

当验证具有多个受众的 JWT 时，它只需要匹配使用 JwtAuthProvider 配置的单个受众，例如，给定上述配置：

JWT[aud] = null      //= Valid: No Audience specified
JWT[aud] = qux       //= NOT Valid: Wrong Audience specified
JWT[aud] = [bar,qux] //= Valid: Partial Audience match

此功能从 v5.0.3 开始可用，现在为 available on MyGet。