azure - 如何使用 validate-jwt 验证 jwt token 时检查错误(以前为 : How to use a custom built jwt in validate-jwt? )

Question

我尝试使用 validate-jwt 策略限制使用 JWT token 对 REST API 的访问。以前从来没有这样做过。

这是我的入站策略(取自简单 token 验证here):

<validate-jwt header-name="Authorization" require-scheme="Bearer">
    <issuer-signing-keys>
        <key>{{jwt-signing-key}}</key>
    </issuer-signing-keys>
    <audiences>
        <audience>CustomerNameNotDns</audience>
    </audiences>
    <issuers>
        <issuer>MyCompanyNameNotDns</issuer>
    </issuers>
</validate-jwt>

使用this generator我创建了一个声明(我不确定我是否正确理解了发行者和受众):

{
    "iss": "MyCompanyNameNotDns",
    "iat": 1572360380,
    "exp": 2361278784,
    "aud": "CustomerNameNotDns",
    "sub": "Auth"
}

在签名 JSON Web token 部分中，我从组合框中选择了生成 64 位 key 。我将生成的 key 放在 {{jwt-signing-key}} 的位置。

现在，我尝试使用 Postman 调用 API。我添加了一个“Authorization” header ，并将“Bearer {{ JWT 创建的 linked generator }}”作为值。

我收到 401，JWT 不存在。我做错了什么？

Answer 1

根据我的研究，如果您使用 HS256 签名算法，则必须以 Base64 编码形式在策略内内联提供 key 。换句话说，我们必须将 key 编码为 base64 字符串。更多详情请引用document

我的测试步骤如下

1. 创建 Jwt token

2. 测试A。如果我直接在策略中提供 key ，则会收到 401 错误

b.如果我在策略中将 key 编码为 base64 字符串，我可以调用 api