Signature non valide lors de la validation du jeton d'accès aux annonces Azure, mais le jeton d'identification fonctionne

Je reçois une signature non valide lorsque j'utilise jwt.io pour valider mon jeton d'accès aux annonces bleues. Mon identifiant, cependant, valide très bien!Signature non valide lors de la validation du jeton d'accès aux annonces Azure, mais le jeton d'identification fonctionne

Je l'ai vu et essayé les solutions proposées dans
Invalid signature while validating Azure ad access token
et
https://nicksnettravels.builttoroam.com/post/2017/01/24/Verifying-Azure-Active-Directory-JWT-Tokens.aspx
mais ne travaille pour mon jeton d'accès.

L'accès et le jeton Id est généré par Adal.js:

var endpoints = { 
     "https://graph.windows.net": "https://graph.windows.net" 
    }; 
    var configOptions = { 
     tenant: "<ad>.onmicrosoft.com", // Optional by default, it sends common 
     clientId: "<app ID from azure portal>", 
     postLogoutRedirectUri: window.location.origin, 
     endpoints: endpoints, 
    } 
    window.authContext = new AuthenticationContext(configOptions);

Pourquoi puis-je valider mon jeton d'identité, mais pas mon jeton d'accès?

Source

2017-07-26 Jeppe

Le jeton d'accès est-il en trois parties séparées par des points (.)? – RasmusW

Veuillez décoder le jeton d'accès, avez-vous vu nonce dans HEADER? –

@RasmusW Les deux jetons sont correctement formatés et je n'ai aucun problème pour décoder les informations de chacun. Seule la vérification est un problème. – Jeppe

S'il vous plaît se référer à la discussion: https://github.com/AzureAD/azure-activedirectory-identitymodel-extensions-for-dotnet/issues/609

mais si le regard sur Jwt.Header vous verrez un 'nonce'. Cela signifie que vous avez besoin d'un traitement spécial. Le traitement normal échouera.

Donc, si nonce comprend en jeton d'accès, de valider la signature avec JWT.io ou JwtSecurityToken ne sera pas le succès.

Source

2017-07-26 05:53:42

Merci, donc il n'y a aucun moyen pour moi de valider le jeton d'accès alors? – Jeppe

S'il vous plaît fournir une demande de jeton (supprimer des informations sensibles comme locataire & & client ID), vous pouvez utiliser fiddler ou outil de développement de navigateur pour capturer la demande, je vais vérifier pourquoi nonce inclus dans l'en-tête. En outre, vous n'avez pas besoin de valider la signature du jeton d'accès pour l'API graphique. Lorsque vous envoyez des appels api avec un jeton d'accès aux annonces azur, le serveur graphique api le valide. Si vous achetez un jeton pour votre propre API, vous pouvez valider le jeton d'accès avec le middleware owin ou valider manuellement le jeton JWT. –

Signature non valide lors de la validation du jeton d'accès aux annonces Azure, mais le jeton d'identification fonctionne

Répondre

Questions connexes