api - Azure API 管理 : validate jwt token scope

Question

我们想使用 validate-jwt 策略保护 API 操作调用，但是当我使用 required-claims 检查范围时遇到问题。示例:我有一个 token ，其范围包括多个值，例如“xxx.READ xxx.WRITE yyy.READ yyy.WRITE ...”对于特定操作，我想使用 validate-jwt 策略来检查 token 是否包含链接的范围:

    <required-claims>
            <claim name="scp" match="any">
                <value>xxx.READ</value>
            </claim>
    </required-claims>

但由于 scp 中的多个值，验证总是失败...我如何检查此声明？我必须先提取 scp 值吗？如果是，我该怎么做？

提前致谢

Answer 1

多值声明应表示为 JWT token 内的数组:

"scp": ["xxx.READ", "xxx.WRITE", "yyy.READ", "yyy.WRITE"]

您发布的策略配置完全支持这种情况。

但是如果您将它们表示为单个字符串(“xxx.READ xxx.WRITE yyy.READ yyy.WRITE”)，那么您必须使用手动表达式来验证此类标记，大致如下:

<choose>
    <when condition="@(context.Request.Headers.ContainsKey("Authorization"))">
        <set-variable name="token" value="@(context.Request.Headers.GetValueOrDefault("Authorization", string.Empty).AsJwt())" />
        <choose>
            <when condition="@{
if (context.Variables["token"] == null) {
    return false;
}

var scp = ((Jwt)context.Variables["token"]).Claims.GetValueOrDefault("scp", (string[])null);
if (scp == null || scp.Length == 0) {
    return false;
}

return scp.Any(c => c.Contains("xxx.READ"));
            }">
                <return-response response-variable-name="existing response variable">
                    <set-status code="401" reason="Unauthorized" />
                </return-response>
            </when>
        </choose>
    </when>
    <otherwise>
        <return-response response-variable-name="existing response variable">
            <set-status code="401" reason="Unauthorized" />
        </return-response>
    </otherwise>
</choose>