Validação de Token

Verifique se o valor da reivindicação de público-alvo (aud) contém o valor client_id do aplicativo. A reivindicação aud (público-alvo) pode conter um array com mais de um elemento. O Token de ID deverá ser rejeitado se o token de ID não listar o cliente como um público-alvo válido ou se contiver públicos-alvo adicionais não confiáveis pelo cliente.

Verifique se a hora atual é anterior à hora representada pela reivindicação de tempo de expiração (exp).

Exemplo

package sample;
 
import java.net.MalformedURLException;
import java.net.URL;
 
import com.nimbusds.jose.JWSAlgorithm;
import com.nimbusds.jose.jwk.source.JWKSource;
import com.nimbusds.jose.jwk.source.RemoteJWKSet;
import com.nimbusds.jose.proc.JWSKeySelector;
import com.nimbusds.jose.proc.JWSVerificationKeySelector;
import com.nimbusds.jose.proc.SecurityContext;
import com.nimbusds.jwt.JWTClaimsSet;
import com.nimbusds.jwt.proc.ConfigurableJWTProcessor;
import com.nimbusds.jwt.proc.DefaultJWTProcessor;
 
public class TokenValidation {
 
    public static void main(String[] args) {
        try {
            String tokenValue = "eyJ4NXQjUzI1....W9J4oQ";
     
            ConfigurableJWTProcessor jwtProcessor = new DefaultJWTProcessor();
 
            // change t
            JWKSource keySource = new RemoteJWKSet(new URL("https://<domainURL>/admin/v1/SigningCert/jwk"));
 
            // The expected JWS algorithm of the token (agreed out-of-band)
            JWSAlgorithm expectedJWSAlg = JWSAlgorithm.RS256;
 
            // Configure the JWT processor with a key selector to feed matching public
            // RSA keys sourced from the JWK set URL
            JWSKeySelector keySelector = new JWSVerificationKeySelector(expectedJWSAlg, keySource);
            jwtProcessor.setJWSKeySelector(keySelector);
 
            // Process the token
            SecurityContext ctx = null; // optional context parameter, not required here
            JWTClaimsSet claimsSet = jwtProcessor.process(tokenValue, ctx);
            // Print out the token claims set
            System.out.println(claimsSet.toJSONObject());
             
 
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
 
}

Verifique se o valor da reivindicação do Identificador do Emissor (iss) corresponde exatamente ao valor da reivindicação iss (emissor): https://<domainURL>/

Verifique se o token de acesso foi assinado corretamente pelo emissor.

• Recupere o certificado público do tenant no ponto final SigningCert/jwk (por exemplo, https://acme.identity.oraclecloud.com/admin/v1/SigningCert/jwk).

  Observação
  
  Como os domínios de identidades alteram chaves públicas com pouca frequência, você pode armazenar as chaves públicas em cache e, na grande maioria dos casos, executar com eficiência a validação local. Isso requer recuperar e analisar certificados e fazer as chamadas de criptografia apropriadas para verificar a assinatura:

• Use qualquer biblioteca JWT disponível para validar, por exemplo, a Biblioteca JWT Nimbus do Connect2id para Java. Consulte JWT para obter uma lista de bibliotecas disponíveis.

• Informe o certificado para a API da respectiva biblioteca, por exemplo, usando a API SignedJWT do Nimbus:

  PublicKey = x509Certificate.getPublicKey();
  // verify the signature.
  JWSVerifier verifier = new RSASSAVerifier((RSAPublicKey) (publicKey));
  boolean isTokenValid = signedJWT.verify(verifier);
  

  Observação
  
  Em caso de falha de validação de assinatura, para evitar reencontros constantes em caso de ataques com tokens falsos, o reencontro/reencadeamento da chave pública deve ser baseado em um intervalo de tempo, como 60 minutos, para que reencontros ocorram apenas a cada 60 minutos.

Verifique se o valor da reivindicação do Identificador do Emissor (iss) corresponde exatamente ao valor da reivindicação iss (emissor): https://<domainURL>/

Verifique se o token de acesso tem a reivindicação de público-alvo (aud), conforme solicitado pelo cliente. O valor da reivindicação aud é alterado do escopo para o escopo. A reivindicação aud é um array se houver vários públicos-alvo e for uma string se houver apenas um público-alvo.

A reivindicação aud é o público-alvo principal do servidor de recursos do Aplicativo do domínio de identidades do serviço IAM. Se houver públicos secundários definidos no Aplicativo de domínio de identidades do serviço IAM, eles também serão adicionados como parte da reivindicação aud. Como parte da validação do token de acesso, o servidor deverá permitir o acesso se um dos valores no array aud fizer sentido para o servidor de recursos.

Verifique se a hora atual é anterior à hora representada pela reivindicação de tempo de expiração (exp).

Verifique se o token de acesso está autorizado a executar a operação com base no conteúdo da reivindicação do escopo. A reivindicação do escopo no token de acesso é uma lista de strings separadas por espaço.