Validation de token

Vérifiez que la valeur de la demande de public (aud) contient la valeur client_id de l'application. La demande aud (audience) peut contenir un tableau avec plusieurs éléments. Le jeton d'ID doit être rejeté si le jeton d'ID ne répertorie pas le client en tant que public valide ou s'il contient des publics supplémentaires qui ne sont pas approuvés par le client.

Vérifiez que l'heure actuelle est antérieure à l'heure représentée par la demande de délai d'expiration (exp).

Exemple

package sample;
 
import java.net.MalformedURLException;
import java.net.URL;
 
import com.nimbusds.jose.JWSAlgorithm;
import com.nimbusds.jose.jwk.source.JWKSource;
import com.nimbusds.jose.jwk.source.RemoteJWKSet;
import com.nimbusds.jose.proc.JWSKeySelector;
import com.nimbusds.jose.proc.JWSVerificationKeySelector;
import com.nimbusds.jose.proc.SecurityContext;
import com.nimbusds.jwt.JWTClaimsSet;
import com.nimbusds.jwt.proc.ConfigurableJWTProcessor;
import com.nimbusds.jwt.proc.DefaultJWTProcessor;
 
public class TokenValidation {
 
    public static void main(String[] args) {
        try {
            String tokenValue = "eyJ4NXQjUzI1....W9J4oQ";
     
            ConfigurableJWTProcessor jwtProcessor = new DefaultJWTProcessor();
 
            // change t
            JWKSource keySource = new RemoteJWKSet(new URL("https://<domainURL>/admin/v1/SigningCert/jwk"));
 
            // The expected JWS algorithm of the token (agreed out-of-band)
            JWSAlgorithm expectedJWSAlg = JWSAlgorithm.RS256;
 
            // Configure the JWT processor with a key selector to feed matching public
            // RSA keys sourced from the JWK set URL
            JWSKeySelector keySelector = new JWSVerificationKeySelector(expectedJWSAlg, keySource);
            jwtProcessor.setJWSKeySelector(keySelector);
 
            // Process the token
            SecurityContext ctx = null; // optional context parameter, not required here
            JWTClaimsSet claimsSet = jwtProcessor.process(tokenValue, ctx);
            // Print out the token claims set
            System.out.println(claimsSet.toJSONObject());
             
 
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
 
}

Vérifiez que la valeur de la demande d'identificateur d'émetteur (iss) correspond exactement à la valeur de la demande iss (émetteur) : https://<domainURL>/

Vérifiez que le jeton d'accès est correctement signé par l'émetteur.

• Extrayez le certificat public du locataire de l'adresse SigningCert/jwk (par exemple, https://acme.identity.oraclecloud.com/admin/v1/SigningCert/jwk).

  Remarque
  
  Etant donné que les domaines d'identité changent rarement de clés publiques, vous pouvez mettre en cache les clés publiques et, dans la plupart des cas, effectuer efficacement la validation locale. Cela nécessite de récupérer et d'analyser les certificats et de passer les appels cryptographiques appropriés pour vérifier la signature :

• Utilisez toutes les bibliothèques JWT disponibles pour valider, par exemple la bibliothèque JWT Nimbus de Connect2id pour Java. Pour obtenir la liste des bibliothèques disponibles, reportez-vous à JWT.

• Transmettez le certificat à l'API de la bibliothèque concernée, par exemple, à l'aide de l'API Nimbus SignedJWT :

  PublicKey = x509Certificate.getPublicKey();
  // verify the signature.
  JWSVerifier verifier = new RSASSAVerifier((RSAPublicKey) (publicKey));
  boolean isTokenValid = signedJWT.verify(verifier);
  

  Remarque
  
  En cas d'échec de la validation de signature, pour empêcher les réextractions constantes en cas d'attaques avec de faux jetons, la réextraction/remise en cache de la clé publique doit être basée sur un intervalle de temps, tel que 60 minutes, afin que les réextractions ne se produisent que toutes les 60 minutes.

Vérifiez que la valeur de la demande d'identificateur d'émetteur (iss) correspond exactement à la valeur de la demande iss (émetteur) : https://<domainURL>/

Vérifiez que le jeton d'accès a la demande d'audience (aud) comme demandé par le client. La valeur de la demande aud passe de la portée à la portée. La revendication aud est un tableau s'il existe plusieurs audiences et une chaîne s'il n'y a qu'une seule audience.

La revendication aud est le public principal du serveur de ressources de l'application de domaine d'identité IAM. Si des audiences secondaires sont définies dans l'application de domaine d'identité IAM, elles sont également ajoutées dans le cadre de la demande aud. Dans le cadre de la validation du jeton d'accès, le serveur doit autoriser l'accès si l'une des valeurs du groupe aud a un sens pour le serveur de ressources.

Vérifiez que l'heure actuelle est antérieure à l'heure représentée par la demande de délai d'expiration (exp).

Vérifiez que le jeton d'accès est autorisé à effectuer l'opération en fonction du contenu de la demande de portée. La revendication de portée dans le jeton d'accès est une liste de chaînes séparées par des espaces.