WSO2 Idenity服務器 - 如何驗證JWT格式的OIDC承載令牌

Question

什麼是在提供基於REST/JSON的API服務的輔助服務器上驗證JSON Web令牌（jwt）id令牌的建議解決方案。對於設計也考慮性能方面：

• 爲了驗證包含在智威湯遜可信發行人的簽名，作爲 以及其到期（檢查「NBF」到「EXP」窗口），避免在WSO2 重複查找的IdP？
• 要提交將它發送給IdP的jwt（或訪問令牌）在每個API請求上進行重新驗證？
• 通過添加具有非對稱算法的加密層（JWE）並使用共享公鑰（RSA）來提高安全性？
• 其他驗證方法？

Answer 1

我會選擇＃1。即。驗證[1]中指定的受信任發行者的簽名和其他驗證

如果我們選擇＃2，我們將如何驗證驗證後收到的響應？如果我們使用簽名或加密，那麼這是浪費額外的電話。

＃1和＃3的組合將是理想的。但是這肯定會對性能產生影響。

[1] http://openid.net/specs/openid-connect-core-1_0.html#IDTokenValidation