验证JSON网络令牌

解码 ID 令牌。

OpenID 基金会还维护着一份用于处理令牌的库清单。JWT

您也可以使用 Amazon Lambda 解码用户池JWTs。有关更多信息，请参阅使用解码和验证 Amazon JWT Cognito 令牌。 Amazon Lambda

将本地密钥 ID (kid) 与公有 kid 进行比较。

1. 为您的用户池下载并存储相应的公共 JSON Web 密钥 (JWK)。它作为 JSON Web 密钥集 (JWKS) 的一部分提供。你可以通过jwks_uriURI为你的环境构造以下内容来找到它：

   https://cognito-idp.<Region>.amazonaws.com/<userPoolId>/.well-known/jwks.json

   有关JWK和JWK集的更多信息，请参阅 JSONWeb Key (JWK)。

   注意

   Amazon Cognito 可能会轮换用户群体中的签名密钥。最佳做法是使用 kid 作为缓存密钥在应用程序中缓存公有密钥，并定期刷新缓存。将您的应用程序收到的令牌中的 kid 与缓存进行比较。

   如果您收到的令牌的颁发者是正确的，但 kid 不同，则 Amazon Cognito 可能已经轮换了签名密钥。从您的用户群体 jwks_uri 端点刷新缓存。

   这是个 jwks.json 文件示例：

   {
   	"keys": [{
   		"kid": "1234example=",
   		"alg": "RS256",
   		"kty": "RSA",
   		"e": "AQAB",
   		"n": "1234567890",
   		"use": "sig"
   	}, {
   		"kid": "5678example=",
   		"alg": "RS256",
   		"kty": "RSA",
   		"e": "AQAB",
   		"n": "987654321",
   		"use": "sig"
   	}]
   }

   密钥 ID（kid）

   kid这是一个提示，用于指示使用哪个密钥来保护令牌JSON的 Web 签名 (JWS)。

   算法（alg）

   alg 标头参数表示用于保护 ID 令牌的加密算法。用户池使用RS256加密算法，即带有 SHA -256 的RSA签名。有关的更多信息RSA，请参阅RSA密码学。

   密钥类型（kty）

   该kty参数标识与密钥一起使用的加密算法系列，例如本示例中的 RSA “”。

   RSA指数 () e

   该e参数包含RSA公钥的指数值。它以 Base64 urlUInt 编码的值表示。

   RSA模量 () n

   该n参数包含RSA公钥的模数值。它以 Base64 urlUInt 编码的值表示。

   使用（use）

   use 参数描述了公有密钥的预期用途。在本示例中，use 值 sig 表示签名。

2. 在公共 JSON Web 密钥中搜索与您的密钥kid相匹配的JWT。kid

使用JWT库将发行者的签名与令牌中的签名进行比较。颁发者签名源自 jwks.json kid 中与令牌匹配的公钥（RSA模数"n"）。kid您可能需要先将 to PEM 格式JWK转换为格式。以下示例采用JWT和JWK并使用 Node.js 库 jsonwebtoken 来验证签名：JWT

通过以下方法之一，验证令牌是否未过期。

1. 对令牌解码并将 exp 声明与当前时间进行比较。

2. 如果您的访问令牌包含aws.cognito.signin.user.admin索赔，请向点赞发送请求GetUser。APIAPI如果您的令牌已过期，则使用访问令牌授权的请求会返回错误。

3. 在针对UserInfo 端点的请求中提供您的访问令牌。如果您的令牌已过期，则请求会返回错误。

ID 令牌中的 aud 声明和访问令牌中的 client_id 声明应与在 Amazon Cognito 用户池中创建的应用程序客户端 ID 匹配。

发布者 (iss) 声明应与您的用户池匹配。例如，在 us-east-1 区域中创建的用户池将有下列 iss 值：

https://cognito-idp.us-east-1.amazonaws.com/<userpoolID>.

检查 token_use 声明。