OpenID連接提供程序，支持HMAC不RSA，如何符合沒有jwks_uri？

Question

我正在實現一個OpenID連接提供程序，我看不到規範中要求特定簽名算法的任何內容。這意味着我應該能夠實施HMAC/HS256，而不用擔心使用證書。是對的嗎？

如果是這樣，爲什麼jwks_uri在元數據中是強制性的？

Answer 1

我認爲一個有效的問題。

核心規範hints，有可能是你不這樣做的情況下有到：

的OP必須支持與RSA SHA-256算法簽名ID令牌（RS256的 ALG值） ，除非OP僅支持從令牌端點返回的ID令牌 （如授權碼 流的情況），並且僅允許客戶端註冊指定none作爲 所請求的ID令牌簽名算法。

但隨後發現文件goes on矛盾，通過不允許做廣告只是none爲id_token_signing_alg：

算法RS256必須被包括在內。

後者當然反過來證明有一個必需的jwks_uri，但它感覺很奇怪。

Answer 2

發現不是必需的，但如果您確實支持它，元數據文檔必須包含jwks_uri並支持RS256。督察。你可以支持「無」 - 只有沒有發現。