验证 JSON Web 令牌

解码 ID 令牌。

OpenID Foundation 还维护用于处理 JWT 令牌的库列表。

您还可以使用 Amazon Lambda 解码用户池 JWT。有关更多信息，请参阅使用解码和验证 Amazon Cognito J WT 令牌。 Amazon Lambda

将本地密钥 ID (kid) 与公有 kid 进行比较。

1. 下载并存储适用于用户池的对应的公有 JSON Web Key（JWK）。它可作为 JSON Web Key Set (JWKS) 的一部分提供。您可以通过为您的环境构建以下 jwks_uri URL 来找到它：

   https://cognito-idp.<Region>.amazonaws.com/<userPoolId>/.well-known/jwks.json

   有关更多 JWK 和 JWK 集的更多信息，请参阅 JSON Web Key (JWK)。

   注意

   Amazon Cognito 可能会轮换用户群体中的签名密钥。最佳做法是使用 kid 作为缓存密钥在应用程序中缓存公有密钥，并定期刷新缓存。将您的应用程序收到的令牌中的 kid 与缓存进行比较。

   如果您收到的令牌的颁发者是正确的，但 kid 不同，则 Amazon Cognito 可能已经轮换了签名密钥。从您的用户群体 jwks_uri 端点刷新缓存。

   这是个 jwks.json 文件示例：

   {
   	"keys": [{
   		"kid": "1234example=",
   		"alg": "RS256",
   		"kty": "RSA",
   		"e": "AQAB",
   		"n": "1234567890",
   		"use": "sig"
   	}, {
   		"kid": "5678example=",
   		"alg": "RS256",
   		"kty": "RSA",
   		"e": "AQAB",
   		"n": "987654321",
   		"use": "sig"
   	}]
   }

   密钥 ID（kid）

   kid 是一个提示，指示哪个密钥用于保护令牌的 JSON Web 签名（JWS）。

   算法（alg）

   alg 标头参数表示用于保护 ID 令牌的加密算法。用户池使用 RS256 加密算法，这是一种采用 SHA-256 的 RSA 签名。有关 RSA 的更多信息，请参阅 RSA 加密。

   密钥类型（kty）

   kty 参数标识与密钥结合使用的加密算法系列，例如，在本示例中为“RSA”。

   RSA 指数（e）

   e 参数包含 RSA 公有密钥的指数值。它表示为采用 Base64urlUInt 编码的值。

   RSA 模数（n）

   n 参数包含 RSA 公有密钥的模数值。它表示为采用 Base64urlUInt 编码的值。

   使用（use）

   use 参数描述了公有密钥的预期用途。在本示例中，use 值 sig 表示签名。

2. 搜索与您 JWT 的 kid 相匹配的 kid 的公有 JSON Web 密钥。

使用 JWT 库将颁发者的签名与令牌中的签名进行比较。发布者签名来自在 jwks.json 中的 kid 公有密钥（RSA 模数 "n"），该公有密钥与令牌 kid 匹配。您可能首先需要将 JWK 转换为 PEM 格式。以下示例采用 JWT 和 JWK 格式，并且使用 Node.js 库 jsonwebtoken 来验证 JWT 签名：

通过以下方法之一，验证令牌是否未过期。

1. 对令牌解码并将 exp 声明与当前时间进行比较。

2. 如果您的访问令牌包含aws.cognito.signin.user.admin索赔，请向类似的 API 发送请求GetUser。如果令牌已过期，您使用访问令牌进行授权的 API 请求会返回错误。

3. 在针对UserInfo 端点的请求中提供您的访问令牌。如果您的令牌已过期，则请求会返回错误。

ID 令牌中的 aud 声明和访问令牌中的 client_id 声明应与在 Amazon Cognito 用户池中创建的应用程序客户端 ID 匹配。

发布者 (iss) 声明应与您的用户池匹配。例如，在 us-east-1 区域中创建的用户池将有下列 iss 值：

https://cognito-idp.us-east-1.amazonaws.com/<userpoolID>.

检查 token_use 声明。