验证 JSON Web 令牌

解码 ID 令牌。

OpenID Foundation 还维护用于处理 JWT 令牌的库列表。

您还可以使用 Amazon Lambda 解码用户池 JWT。有关更多信息，请参阅使用解码和验证 Amazon Cognito J WT 令牌。 Amazon Lambda

将本地密钥 ID (kid) 与公有 kid 进行比较。

1. 下载并存储适用于用户池的对应的公有 JSON Web Key（JWK）。它可作为 JSON Web Key Set (JWKS) 的一部分提供。您可以通过为您的环境构建以下 jwks_uri URL 来找到它：

   https://cognito-idp.<Region>.amazonaws.com/<userPoolId>/.well-known/jwks.json

   有关更多 JWK 和 JWK 集的更多信息，请参阅 JSON Web Key (JWK)。

   注意

   Amazon Cognito 可能会轮换用户池中的签名密钥。最佳做法是使用 kid 作为缓存密钥在应用程序中缓存公有密钥，并定期刷新缓存。将您的应用程序收到的令牌中的 kid 与缓存进行比较。

   如果您收到的令牌的颁发者是正确的，但 kid 不同，则 Amazon Cognito 可能已经轮换了签名密钥。从您的用户池 jwks_uri 端点刷新缓存。

   这是个 jwks.json 文件示例：

   {
   	"keys": [{
   		"kid": "1234example=",
   		"alg": "RS256",
   		"kty": "RSA",
   		"e": "AQAB",
   		"n": "1234567890",
   		"use": "sig"
   	}, {
   		"kid": "5678example=",
   		"alg": "RS256",
   		"kty": "RSA",
   		"e": "AQAB",
   		"n": "987654321",
   		"use": "sig"
   	}]
   }

   密钥 ID（kid）

   kid 是一个提示，指示哪个密钥用于保护令牌的 JSON Web 签名（JWS）。

   算法（alg）

   alg 标头参数表示用于保护 ID 令牌的加密算法。用户池使用 RS256 加密算法，该算法是 RSA 签名。 SHA-256有关 RSA 的更多信息，请参阅 RSA 加密。

   密钥类型（kty）

   kty 参数标识与密钥结合使用的加密算法系列，例如，在本示例中为“RSA”。

   RSA 指数（e）

   e 参数包含 RSA 公有密钥的指数值。它表示为一个 Base64urlUInt-encoded 值。

   RSA 模数（n）

   n 参数包含 RSA 公有密钥的模数值。它表示为一个 Base64urlUInt-encoded 值。

   使用（use）

   use 参数描述了公有密钥的预期用途。在本示例中，use 值 sig 表示签名。

2. 搜索与您 JWT 的 kid 相匹配的 kid 的公有 JSON Web 密钥。

确认令牌尚未过期。对令牌解码并将 exp 声明与当前时间进行比较。由于用户池 JWT 是独立的，并且有自己的到期时间，因此您可以离线检查到期时间，无需网络调用 Amazon Cognito。

ID 令牌中的aud声明和访问令牌中的client_id声明必须与在 Amazon Cognito 用户池中创建的应用程序客户端 ID 相匹配。

颁发者 (iss) 索赔必须与您的用户池相匹配。例如，us-east-1在该地区创建的用户池具有以下iss值：

https://cognito-idp.us-east-1.amazonaws.com/<userpoolID>.

检查 token_use 声明。

确认令牌尚未被撤销。具有有效签名且exp声明未过期的令牌仍可以在其到期时间之前被撤销，例如，当用户注销或您调用 API 操作时。RevokeToken离线签名和到期检查无法自行检测到撤销。如果您的应用程序必须在令牌到期之前执行撤销，请根据 Amazon Cognito 验证令牌的状态（例如，通过授权的 API 请求），或者缩短访问令牌的生命周期。有关更多信息，请参阅 通过令牌撤销来结束用户会话。