azure-ad-jwt它如何驗證令牌

Question

我在節點應用程序中使用azure-ad-jwt來驗證令牌。它如何驗證令牌，它使用什麼設置？我只是簡單地使用

var aad = require('azure-ad-jwt'); 
aad.verify(jwtToken, null, function(err, result) { 
if (result) { 
     console.log("JWT is valid"); 
} else { 
     console.log("JWT is invalid: " + err); 
} 
}); 

Answer 1

智威湯遜可以使用在令牌發行者和資源服務器之間共享的祕密進行簽名。換句話說，使用令牌的資源服務器使用相同的密鑰來驗證JWT中的簽名。

但這不是唯一的方法。智威湯遜也可以使用公鑰/私鑰進行簽名。 Azure AD使用此方法。

azure-ad-jwt採用JWT，「追捕」公鑰證書，併爲其找到的每個證書調用jsonwebtoken.verify（）函數。每次通過JWT和證書。這就是azure-ad-jwt可以如何驗證JWT中的簽名。