使用Google云端点进行非OAuth2 JWT验证
Google云端点（Google Cloud Endpoints）是一种用于构建、部署、管理和监控具有 RESTful API 的云服务。它提供了一种简单且可扩展的方式来创建和管理 API，并提供了安全性、监控和日志记录等功能。
非OAuth2 JWT验证是一种基于JSON Web Token（JWT）的身份验证机制，用于验证API请求的合法性和身份。JWT是一种开放标准（RFC 7519），用于在各方之间安全地传输信息。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。非OAuth2 JWT验证使用JWT作为身份验证凭证，而不依赖于OAuth2授权框架。
非OAuth2 JWT验证的优势包括：
- 简化的身份验证流程：使用JWT作为身份验证凭证，无需进行复杂的OAuth2授权流程，简化了身份验证过程。
- 基于令牌的身份验证：JWT是基于令牌的身份验证机制，通过验证JWT的签名和有效期，可以确保请求的合法性和身份。
- 跨平台和跨语言支持：JWT是一种开放标准，可以在不同的平台和编程语言中使用和验证，具有良好的跨平台和跨语言支持。
- 可扩展性：非OAuth2 JWT验证可以与其他安全机制和认证方式结合使用，提供更灵活和可扩展的身份验证解决方案。
非OAuth2 JWT验证适用于以下场景：
- 微服务架构：在微服务架构中，不同的服务之间需要进行身份验证和授权，非OAuth2 JWT验证可以提供一种简单和可扩展的身份验证机制。
- 移动应用程序：对于移动应用程序，使用非OAuth2 JWT验证可以简化身份验证流程，并提供安全的身份验证机制。
- 第三方应用程序集成：非OAuth2 JWT验证可以用于第三方应用程序与API之间的身份验证和授权，确保请求的合法性和安全性。
推荐的腾讯云相关产品和产品介绍链接地址：
腾讯云API网关（API Gateway）：腾讯云API网关是一种全托管的API管理服务，可帮助用户轻松构建、发布、维护、监控和安全地扩展API。它提供了丰富的功能，包括身份验证、访问控制、流量控制、缓存、日志记录等。了解更多信息，请访问：腾讯云API网关
腾讯云身份认证服务（CAM）：腾讯云身份认证服务（Cloud Access Management，CAM）是一种用于管理和控制腾讯云资源访问权限的服务。它提供了身份验证、访问控制、权限管理等功能，可以帮助用户实现细粒度的访问控制和权限管理。了解更多信息，请访问：腾讯云身份认证服务
相关·内容
1回答
为了使用用于OpenAPI的云端点进行身份验证，我必须使用google构建一个Python会话，如下所示：
from google.auth.transport.requests import AuthorizedSession
creds = google.auth.jwt.Credentials.from_service_account_file(
creds_path, audience=my_audience)
session = AuthorizedSession(creds)
但是，当我想对云函数进行身份验证时，我必须做一些不同的事情：
浏览 1提问于2019-09-12得票数 3
回答已采纳
1回答
我正在尝试通过Google网关中的JWTs来实现用户身份验证。
我已经按照在API配置中配置了安全需求对象和安全定义对象。
securityDefinitions:
google_id_token:
authorizationUrl: ""
flow: "implicit"
type: "oauth2"
x-google-issuer: "https://accounts.google.com"
x-google-jwks_uri: "https://ww
浏览 2提问于2021-11-08得票数 0
2回答
我正在尝试设置服务以服务身份验证，以便外部应用程序能够向云运行应用程序(在Cloud网关后面)发出请求。
我遵循了Cloud 文档，但是在试图访问Cloud时，我继续收到以下错误：
401:未配置Jwt发行者
在openapi规范中，我设置了端点安全性和securityDefinition：
/endpoint_1:
get:
...
security:
- service_account: []
securityDefinitions:
service_account:
authorizationUrl: ""
浏览 2提问于2020-07-01得票数 3
回答已采纳
我已经在Cloud IAP后面保护了一个Google App Engine应用程序--端点现在需要像预期的那样通过浏览器进行Google登录，并且一旦我添加了正确的权限，它就可以正常工作。但是，当我尝试使用Postman / MS PowerApps OAuth2身份验证时，我得到以下错误:期望JWT有3个部分，用‘’分隔。但是有两个部分。
以下是我的邮递员设置：
Grant Type: Authorization Code
Callback URL: Authed Callback URL (added to list in console)
Auth URL: https://acco
浏览 0提问于2019-10-02得票数 1
我是针对为我提供3个端点的OAuth2服务进行身份验证的：
http://bobsoauth.com/oauth2/authorize
http://bobsoauth.com/oauth2/token
http://bobsoauth.com/oauth2/userdata
此服务不发出JWT。
我需要使用一个有角度的客户端应用程序，连接到Spring，然后连接到多个Spring微服务。
如果没有JWT，我还能在网关和微服务之间使用令牌中继设置吗？
浏览 0提问于2022-09-19得票数 0
1回答
我有AWS K8s集群(EKS)，我希望使用API网关来保护端点，并将授权逻辑与微服务分开。我需要有两个身份验证模式：
发送登录/密码并获取JWT
OAuth2
API网关与K8s集群通过进行集成。看上去很好。那我需要验证一下。AWS提供认知服务，作为管理用户的服务，以及拥有自己的身份提供者的可能性。我知道我们可以将API网关授权器与认知技术集成在一起，但我无法理解以下内容：
例如，如何将认知与已经存在的LDAP集成起来？(SAML?)
我可以使用我自己已经创建的OAuth2身份验证端点吗？
如何使用登录/密码进行身份验证并使用API gateway+Cognito
浏览 2提问于2020-09-29得票数 2
回答已采纳
1回答
我的用例
我在Google Cloud平台上部署了一个API，使用Google Cloud Endpoint作为API管理器。对于那些熟悉端点的人，我使用的是上的。我的API作为部署在Google的Actions上的action的webhook。在API端，我需要验证请求是否确实来自Google上的操作。
正如中所述，来自Google上的操作的请求在Authorization头中包含一个令牌(JWT格式
authorization: "<JWT token>"
因此，我需要使用云端点验证此令牌。
问题所在
云端点使用Swager2.0(也称为OpenAPI )，只提
浏览 21提问于2019-07-22得票数 0
回答已采纳
我正在尝试使用Postman来测试在Google Cloud平台上开发的API : API端点背后的应用程序引擎。
我有JSON格式的密钥文件：
{
"type": "service_account",
"project_id": "[[my_project_name]]",
"private_key_id": "[[private_key_id]]",
"private_key": "-----BEGIN PRIVATE KEY-----\n[[privat
浏览 0提问于2020-02-17得票数 1
1回答
我正在为一个允许插件的平台构建一个web (也可能是移动应用程序)。我们正在为第三方客户端插件使用OAuth2授权代码授予类型。
哪一种，如果有的话，授予类型，我应该使用我们的第一客户端(即我们的网络/移动应用)？
目前，我们的用户登录到一个外部服务，即谷歌作为一个OAuth2消费者。然后我们发出一个JWT (用户名和CSRF令牌)作为cookie，它用于在API中授权我们的用户；对于第三方客户端，我们查找OAuth2令牌。
但是，我想知道我们的应用程序是否应该使用“密码”、“隐式”或“带有PKCE的授权代码”，这样我们的端点就可以一致地使用OAuth2进行授权，而不是检查JWT (查看它是否
浏览 0提问于2019-12-29得票数 3
1回答
我有一个JWT令牌，我想用google端点的开放yaml安全定义来验证它。但它只检查来自相同颁发者和受众的令牌。我看不到这种检查任何内容，因为具有相同颁发者和受众的任何人都可以呼叫终结点。我想限制它，因为我的租户可能使用客户端id/ else.So，因为它将是唯一的。我尝试使用https://auth0.com/docs/integrations/google-cloud-endpoints .When中提到的详细信息尝试使用密码或应用程序，它仍然允许具有相同颁发者和受众的用户，尽管范围不同。我想限制我的tenant.How可以这样做吗？ security:
- a
浏览 30提问于2020-09-06得票数 0
1回答
在oauth2中检查令牌是否对JWT令牌有效的最佳方法是什么。
我应该使用这个端点吗？
/oauth/check_token
我不知道如何使用它，以及它在做什么。
我需要验证令牌的原因是，当提供正确的令牌时，我希望有一些筛选器可以让我登录用户。
或者我应该从JWT令牌中获取userName，然后为用户询问数据库？
浏览 0提问于2018-08-13得票数 0
回答已采纳
2回答
微服务之间的安全性
、、、
我有两个微服务，例如A和B。微服务B有其他只能从微服务A访问的端点。我如何限制微服务之间的访问？如果可能的话，最好的做法是什么？
我正在使用(oauth2，jwt)。
浏览 1提问于2016-06-16得票数 6
回答已采纳
关于微服务体系结构中的身份验证，我有一些问题。我现在是一个单块应用程序，我的目标是将应用程序拆分到小型微服务中。
我最大的问题是身份验证(目前而言)。在阅读了大量文档之后，最好的解决方案似乎是使用OpenID连接对用户进行身份验证，以检索可以将请求传递给微服务的JWT。
此外，为了避免有多个端点，您可以部署和API网关，使最终用户只有一个端点。好的，现在我有两个关于这个架构的问题。
认证的标准流程是：
用户使用隐式流与OpenID连接中的my identity服务器联系，获取id_token (JWT)和access_token。用户现在可以使用这个access_token与我的API联系。A
浏览 5提问于2016-08-24得票数 2
多亏@levi，我编写了一个解决方案( )
我想要刮除需要( Google )身份验证的云运行服务，但是这个解决方案通常适用于任何由Google身份保护的端点。
同样，我可以：
curl \
--request GET
--header "Authorization: Bearer $(gcloud auth print-identity-token)" \
https://my-server-blahblah-wl.a.run.app/metrics
普罗米修斯只支持(?)TLS或OAuth2.
配置需要客户端ID和机密。
使用Google帐户(配置了适当的IAM权
浏览 3提问于2021-10-01得票数 1
回答已采纳
我们计划使用OpenID连接/ OAuth2来处理对资源服务器列表的访问。
当用户要调用其中一个资源服务器时，我们希望使用JWT作为访问令牌。访问令牌将由我们景观中的auth服务器根据OpenId连接/ OAuth2标准发布。将根据JWT访问令牌向调用用户授予或拒绝访问。
这些标准对我们来说是新的，所以我们仍然在阅读和理解。
我们目前正在寻找一个选项，通过调用auth服务器来查找资源服务器。我们想用它来简化客户。
在OpenId连接/ OAuth2中是否有任何选项可以帮助客户端找到可用的资源服务器？在auth服务器中是否有可用的端点可以这样做？或者可以增强JWT的答案以返回资源服务器的列表？
浏览 2提问于2022-05-07得票数 0
与相关
我在用：
. users =‘users 3’>为用户生成id令牌，与谷歌，微软，GitHub .身份
云运行上的云端点调用(云运行) gRPC服务
Firebase Auth用户是我的服务对象之一。
在我挣扎的地方..。
我的应用程序提供了一个或更多云运行服务，应用程序的用户应该能够卷曲。但是，验证云运行服务需要每个服务的id令牌；id令牌的受众必须使用云运行服务URL，而云运行服务URL是特定于服务的。
似乎我应该能够将Firebase Auth id令牌交换为(Google帐户) id令牌(与适当的受众)，然后使用这些令牌来调用云运行服务。该代理也可以在
浏览 6提问于2022-01-27得票数 0
回答已采纳
我使用Django 4.0和python3.9，并在我的应用程序中安装了drf-social-oauth2。我正在使用现在贬值的gapi Oauth2作为google登录，它工作得很好。然后，我开始在我的控制台中收到警告，说它在未来一段时间内不会使用，所以我改用了新的google身份服务(Gsi client)。我以前从gapi那里得到的是一个access_token，我用它来验证后端的用户。现在，我获得了一个证书jwt，我应该对它进行解码，以获得用户详细信息。
当我将这些代码发送到/auth/convert-token/端点时，我得到了AccessDeniedError at /auth/c
浏览 9提问于2022-06-11得票数 0
回答已采纳
1回答
我在尝试用弹簧云建造一个网关。如果一个JWT存在，它应该执行一些逻辑操作，并且它不存在，它应该创建它(从头开始)。我有一些来自互联网的例子，他们都在使用oauth2，我不想要它。有没有人从网上的一个例子中知道我说的是什么。我对spring云网关和spring安全性都很熟悉
我已经尝试过示例，但我对所有的oauth部分都感到困惑。
浏览 2提问于2019-11-08得票数 1
我有一个运行的设置，其中一个后端云运行服务是由提供的。安全定义直截了当：
flow: "implicit"
type: "oauth2"
x-google-jwks_uri: "https://www.googleapis.com/oauth2/v3/certs"
x-google-issuer: "https://accounts.google.com"
x-google-audiences: "my-audience"
现在我已经按照Google ()添加了外部负载均衡器(带有自定义域)，我从API获
浏览 9提问于2022-09-07得票数 0
2回答
我的Spring应用程序前面有一个API网关。这个API网关为我执行JWT令牌的oauth2身份验证和验证。我的应用程序接收有效的JWT令牌作为HTTP报头。
如何将这个JWT令牌与标准的Spring安全性结合起来？我希望使用JWT令牌中传递的用户组对REST端点进行访问控制。如何避免JWT (在API网关和服务端)的双重验证？
浏览 25提问于2022-11-04得票数 0
我们已经组装了一个google hangouts聊天机器人，为我们的团队提供了一些方便的功能。机器人是“机器人URL”的一种，这意味着hangouts会向应用端点发送请求，我们的应用会做出相应的响应。目前，我们正在努力验证来自google的请求。每个请求在身份验证头中都有一个承载令牌，但该JWT令牌不进行验证。php客户端库[https://github.com/googleapis/google-api-php-client]和在线验证器[https://www.googleapis.com/oauth2/v3/tokeninfo?id_token=]都返回错误'invalid s
浏览 16提问于2019-06-27得票数 5
在部署到Google引擎的应用程序中，我们使用Google中的云端点进行服务到服务的身份验证。
我们在所有应用程序前面都有一个可扩展的服务代理侧服务器，其中包含一个Swagger (OpenApi) 2.0YAML描述符，指定可以通过哪个服务访问哪些端点。
每个服务都有自己的服务帐户，创建必要的安全定义非常简单：
securityDefinitions:
service-foo:
authorizationUrl: ""
flow: "implicit"
type: "oauth2"
x-google-issu
浏览 2提问于2020-12-07得票数 0
回答已采纳
1回答
我有一堂主修课：
@SpringBootApplication
public class Oauth2Exp {
public static void main(String[] args) {
SpringApplication.run(OauthDemo.class, args);
}
}
还有一个简单的REST端点(检索访问令牌并与字符串"Hello！！“一起输出它)：
@RestController
@RequestMapping("/api")
public class SampleRest {
@Autowi
浏览 7提问于2022-08-02得票数 0
1回答
Oauth2和JWT的区别
、、、、
我对这个话题感到困惑，我一直在使用NODEJS API进行JWT身份验证，我听说过Oauth2，并且正在阅读Oauth2可以使用JWT的文档，所以我的问题是，我应该将Oauth2用于将由react前端应用程序使用的rest API还是继续使用JWT身份验证。 那么，如果使用Oauth2，前端将如何处理这个问题呢?因为我们已经看到rest API提供了Google provider Log In页面的例子
浏览 25提问于2021-04-22得票数 0
我正在写一些代码，试图从谷歌在OAuth2中使用令牌。这是针对服务帐户的，因此说明如下：
当我在Google上发布JWT时，我一直收到这个错误：
{ "error"："invalid_grant"，"error_description"：“无效的JWT签名。”}
代码如下：
try{
var nowInSeconds : Number = (Date.now() / 1000);
nowInSeconds = Math.round(nowInSeconds);
var fiftyNineMinutesFr
浏览 0提问于2016-05-26得票数 9
Google平台引入了身份感知代理，以保护App灵活的环境实例不受公共访问。
但是，还不完全清楚这是否可以或应该从访问GAE托管的API端点的Google函数中使用。
(有Python示例)表示一个IAP身份验证工作流，包括1)生成一个JWT令牌，2)创建一个OpenID令牌，3)然后向Google提交带有Authorization: Bearer TOKEN头的请求。
对于运行云函数来说，如果每次调用函数时都必须进行授权，这似乎相当复杂。
谷歌云功能是否有另一种访问安全GAE端点的方法？
浏览 11提问于2017-08-20得票数 6
回答已采纳
我有一个azure ACS服务，它信任IP-STS。
对于活动场景，我首先使用用户名和密码凭据从我的IP-STS获取JWT令牌。有了Oauth2端点，一切都运行得很好。是否可以将此IP-STS令牌“交换”为我的azure ACS颁发的JWT令牌？如果是这样，有没有这样做的代码示例。(更糟糕的是，我所有的代码都是用JavaScript编写的(实际上是TypeScript)，但这并不重要)。
更新:我正在使用ACS OAuth2 draft 13端点处理您的提示。
如下所示:我请求我的自定义STS (ACS)为我提供一个用于“ThinkTecture OAuth2 draft 13 endpoin
浏览 1提问于2012-12-03得票数 0
回答已采纳
JWT概要引入了将OAuth2用作授权授权和客户端身份验证的可能性。
JWT客户端身份验证特性独立于特定的授权类型，可以与任何授权类型一起使用，也可以与客户端凭据授权一起使用。
但是，使用JWT授权类型似乎与使用带有JWT客户端身份验证的客户端凭据授权完全相同，只是语法略有不同。
在这两种情况下，客户端都会联系令牌端点以获取访问令牌：
POST /token.oauth2 HTTP/1.1
Host: as.example.com
Content-Type: application/x-www-form-urlencoded
grant_type=urn%3Aietf%3Aparams%3A
浏览 0提问于2015-04-16得票数 31
回答已采纳
我正在尝试使用JWT令牌实现OAuth2身份验证。如果我理解了，我需要将凭证发送到授权服务器，这将验证我凭证，并返回签名的JWT令牌。接下来，我尝试实现扩展WebSecurityConfigurerAdapter的WebSecurityConfig，在那里我必须设置哪些端点是安全的，哪些不是。
但我的问题是:我需要资源服务器吗？它能不能和我的潜在WebSecurityConfig做同样的事情？
我的目标是为我的网站创建简单的JWT身份验证。
浏览 0提问于2018-02-06得票数 3
回答已采纳
目标：
我已经建立了一个Google网关。API的后端是一个云函数(用python编写)。云功能应该从Google BigQuery (BQ)查询数据。要做到这一点，我想要创建一个烧烤客户端(google.cloud.bigquery.Client())。不同的应用程序应该使用不同的服务帐户访问API。服务帐户有权只访问项目中的特定数据集。因此，服务帐户/应用程序应该只能查询它们具有权限的数据集。因此，云函数中的BQ客户端应该使用发送请求到API的服务帐户进行初始化。
我尝试了什么：
API使用以下OpenAPI定义进行了保护，因此需要一个由服务帐户SA-EMAIL签名的JWT才能在那里发送请
浏览 6提问于2021-10-01得票数 0
回答已采纳
2回答
我正在研究一个用例，在这个用例中，我试图实现以下目标：
使用OpenID连接协议。规范在这里：()
使用以下命令发出对/oauth2/access_token端点的调用：
对于资源身份验证:使用grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer，这是按照规范()进行的
对于客户端身份验证:使用client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer，这与上面第a点所列出的规范相同。
我的问题是：
我知道Open规范只讨
浏览 6提问于2015-08-03得票数 2
回答已采纳
1回答
我正在尝试找出一种方法来创建JWT，并使用服务帐户的私钥对其进行签名，然后将签名后的JWT在请求中发送到Google API端点。我已经搜索了许多可用于Java和Python的库，但是有没有可用于PHP的库？
将需要遵循Google的云端点标准来进行服务之间的身份验证。下面是一个我们如何访问java的示例，这是我想用PHP实现的？
public static String generateJwt(final String saKeyfile, final String saEmail,
final String audience, final int expiryLength)
浏览 1提问于2020-01-01得票数 0
1回答
我正在使用FastAPI和JWT身份验证构建一个OAuth2应用程序。我有两个端点来创建JWT令牌。第一个被隐藏在OpenAPI页面中，但是被页面Authorize按钮所使用。第二个功能与API端点相同，但用户可以使用。
如果用户使用页面Authorize按钮并成功地进行了身份验证，则OpenAPI页面上的其余API端点将变得可访问。
如果用户只使用API端点，他们将得到一个有效的get_token令牌，该令牌可以与受保护的API一起使用，但是OpenAPI页面没有经过身份验证。
如何使用公共get_token API端点返回的令牌对OpenAPI页面进行身份验证，就好像用户通过了OpenAP
浏览 13提问于2022-10-31得票数 1
回答已采纳
1回答
我有一个基于Google的API，我想使用JWT (Json令牌)进行授权。我可以为每个包含令牌的请求设置授权头，并且它工作正常。我知道端点对Oauth2使用这个头，下面是我的问题。对自定义令牌使用授权头正确吗？GAE日志：
D 12:38:44.375 Checking for id_token.
D 12:38:44.376 id_token verification failed: Unexpected encryption algorithm: u'HS256'
D 12:38:44.376 Checking for oauth token.
D 12:38:44.38
浏览 3提问于2015-08-04得票数 4
回答已采纳
3回答
我是一个新的开发人员，所有的东西网页设计。
我在Google上开发了一个应用程序，最近一位客户想在Google市场上发布它。我只是将客户端添加为应用程序所有者，让他能够发布该应用程序。他在市场上发布了这款应用程序，并收到了这封邮件(缩写)：
“你最近提交的谷歌应用程序市场申请不符合谷歌应用市场的OAuth2要求。更具体地说，你似乎是通过appengine.google.com而不是在谷歌云控制台构建应用程序的。问题是，应用程序界面不允许你使用谷歌应用程序市场所需的OAuth2。查看我们的文档，了解更多关于OAuth2的信息，以及如何在应用程序中使用它。”
我觉得这很让人困惑，因为我的appen
浏览 6提问于2013-12-17得票数 1
回答已采纳
我有一个带有REST端点的应用程序，这些端点受到JWT身份验证(外部资源服务器)的保护。将我的项目从spring-boot 2.2.7升级到2.4.3之后，一些WebMvcTest集成测试失败了。具体地说，对于没有JWT令牌的GET请求的测试用例-以前它们将返回401 UNAUTHORIZED，现在它们将302 REDIRECT返回给http://localhost/oauth2/authorization/keycloak。
@Test
void shouldNotAllowAccessForUnauthenticatedUsers() throws Exception {
// g
浏览 1提问于2021-06-09得票数 0
我在端点后面有一个应用程序引擎应用程序，我在按照文档添加身份验证时遇到了问题。我的偏好是允许项目中的服务帐户通过，然后执行更细粒度的应用程序端授权。
在我的例子中，大多数客户端都在GCP之外，是自动化的程序，而不是人，所以我使用JSON密钥文件，认为这是可行的(如果我错了，请纠正我)。我也不想重新部署应用程序来更改用户配置，所以我遵循文档中的"GOOGLE ID JWT“信息：
这是我的swagger的安全部分：
"securityDefinitions": {
"api_key": {
"type": "
浏览 2提问于2017-10-16得票数 1
1回答
这是个好做法吗？(服务1和2属于不同的域)
我让用户通过oauth2提供者(如google或github)进行身份验证，用户(经过身份验证)希望使用服务；他与api网关联系，使用自己的私钥创建和签名JWT；api网关用JWT <code>H 110</code>转发用户请求，其中一个服务使用公钥(从秘密管理器获取)验证JWT并执行原始用户请求<code>H 211</code><code>G 212</code>
浏览 2提问于2022-08-31得票数 0
我有一个简单的oauth2弹簧配置，在这里，JWT由一个发行者uri进行验证。
@EnableWebSecurity
class WebSecurityConfiguration {
@Bean
fun filterChain(http: HttpSecurity): SecurityFilterChain {
http.authorizeRequests()
.antMatchers("/actuator/health").permitAll()
.antMatchers("/**"
浏览 5提问于2022-11-03得票数 0
1回答
我试图在云函数和云端点之间建立服务服务身份验证。
我试图在Firebase函数中向运行在上并由管理的API发送一个HTTP请求。
正如google中所述，Firebase函数使用的服务帐户是____@cloudservices.gserviceaccount.com
我在我的openAPI配置(云端点)的安全定义中添加了这个发行者。但是，我无法找到在该服务帐户的云函数中创建访问令牌的方法。
如何在云函数中生成访问令牌以对云端点进行身份验证？如何将云函数上的JWT签名到
浏览 2提问于2018-04-21得票数 2
我在ASP.NET核心2.2 AddJwtBearer中使用oauth2授权码流。我的令牌端点返回JWT access toke，以及检查用户权限所需的所有声明。我可以将这个令牌作为任何Web API调用的载体发送，标准的.net代码可以使用这些声明来检查权限，例如[Authorize(Policy="somePolicy")]。其中一个声明指向我们可以撤销的内部会话密钥。 所以我的问题是，为什么我需要ID令牌，甚至是刷新令牌？声明和其他详细信息都在访问令牌中，那么ID令牌会对此添加什么呢？如果信息在Auth令牌中，必须使用对userinfo端点发送的进一步调用是浪费吗？如果
浏览 20提问于2019-05-05得票数 1
回答已采纳
1回答
场景
我在Cloud (grpc )中托管一个API，但对于我希望保护的http，这个问题也同样存在。目标是提供对我们组织中多个应用程序的访问。注意，每个应用程序都有多个实例运行在另一个位置(每个外部客户端都有一个实例)。该API仅供内部使用，不会受到web浏览器的直接攻击。
选项
我确定了以下选项：
不使用云终结点：我只需要一个服务帐户来保护我的API。不记名令牌(id令牌)可以在应用程序中自动生成。
云端点+ API键：对于每个应用程序，我都生成一个API，该键被该应用程序的所有实例使用。这非常容易设置，因为它只需要发送一个额外的头。
Cloud +自签名jwt：我使用一个服务
浏览 2提问于2020-09-05得票数 2
我想知道以下作用域URI是否会受到Google+关闭的影响。
这个范围在Google控制台的"OAuth同意屏幕“选项卡中被命名为"openid”，并且在plus.me中有"plus.me“。openid作用域是默认设置。
但是下面的网址说“只有直接请求'plus.me‘作用域的项目才会受到影响”。
这让我困惑..。上述作用域URI是否受到Google+关闭的影响？
另外，我想确认以下每个作用域和端点是否会受到影响，因为我在我的项目中使用它们。
范围
- [https://www.googleapis.com/auth/userinfo
浏览 1提问于2019-02-04得票数 3
1回答
我需要将JWT客户端断言传递给oauth2客户端凭据授予配置记录。我将参数作为可选参数传递。但是，每次为访问令牌调用令牌端点时，都必须生成此参数。因此，我做了如下类似的事情。
http:OAuth2ClientCredentialsGrantConfig oauth2Config = {
tokenUrl: "https://*****/oauth2/token",
clientId: "*******",
optionalParams: getJWT(),
clientSecret: "*****",
c
浏览 8提问于2022-12-01得票数 2
因此，当用户在客户端设备上通过授权服务器通过授权服务器( AuthenticationManager )在oAuth2环境中获得授权JWT之后，我开始困惑于如何实现自定义JWT，甚至是自定义JWT。
然后它击中了我，嗯，用户不需要通过AuthenticationManager，因为他们已经通过授权服务器进行了“身份验证”，使用了系统中实现的任何oAuth2流。他们有JWT访问令牌来证明这一点，实际上，如果没有授权的访问令牌，他们甚至无法访问任何Resource端点。
但是，我仍然想要一种访问包含所有用户信息的身份验证对象的方法。
如何创建和获取对此身份验证对象的引用而不使用Authentica
浏览 2提问于2017-05-27得票数 1
回答已采纳
1回答
我正在寻找关于谷歌oAuth2 JWT令牌验证过程的文档。在我的用例中，我将从客户机发送JWT令牌，服务器代码负责验证JWT令牌。我的后端将负责根据规范验证JWT令牌，因此我需要一个正式的过程来验证oAuth2令牌，而不仅仅是使用库。
我正在使用Spring库来做这件事，但是如果我们调用Google API进行验证，我正在寻找如何获得证书和使用它们的信息。
如果我是客户端，那么我所需要的只是一个client_id和ApiKey。但在这里我也看到我们确实需要提供证书。如果我错了，请告诉我。
浏览 1提问于2017-06-20得票数 1
1回答
在阅读了许多关于JWT和session的文章之后，我确信我不应该在会话中使用JWT。
但是，是否有机会在同一个应用程序中使用JWT和sessions？如果是，怎么做，如果不是，有什么替代办法？
我目前正在nodeJS中开发一个简单的auth系统，它可以在需要时登录和注销用户。我使用JWT存储有关用户的相关信息，后者可以用于访问某些端点。
因此，在深入挖掘之后，我也了解了会话，因此我现在对如何使用JWT和Session来完成我的任务感到困惑。我对所有这些东西都很陌生，所以反馈和回应都很感激。
编辑:经过几个小时的挖掘，我对何时使用JWT和何时使用会话感到更加困惑。任何帮助都是非常感谢的。
编辑第
浏览 2提问于2020-01-16得票数 1
回答已采纳
我看到myapp能够在服务器上正确地处理OAuth2 JWT令牌，但是它在本地主机上出现令牌转换错误。
我的流如下所示-
On Server，myapp在自定义 api-gateway后面
获取访问令牌-通过postman，我点击api网关令牌端点，然后调用authserver令牌端点。我得到了OAuth JWT令牌作为响应。
总之，邮递员
请求：-(Creds)->api-网关-(Samecreds)-> auth-server
响应： jwt令牌<-(相同jwt)-- api-网关<-(Jwt)-auth服务器
接下来，我点击了myapp 端点--再
浏览 10提问于2022-09-15得票数 0
1回答
上下文
已经使用(Python)创建了一个API，许多低功耗设备将使用该API获取/发布数据。
与API的唯一通信将来自这些自定义设备(我拥有通信的两端)。
研究
在身份验证方面，希望它能像使用SSL/TLS客户端证书一样简单：
无论如何，每个远程设备都有一个由单个项目CA签名的客户端证书。
Google云端点强制使用SSL。
但是，似乎只有oauth2是受支持的；我正在寻找一种“干净”的方法来实现“离手”身份验证，理想情况下使用我在客户端设备上已经拥有的客户端SSL证书。
我已经研究过创建‘服务’oauth2帐户，但是，由于我想防止设备欺骗另一个设备(所有设备的一组凭证都是不
浏览 3提问于2014-11-24得票数 4
回答已采纳
1回答
我有一个应用程序设置如下：
角度UI -> Spring云网关->基于Spring引导的服务
我试图使用仅使用以下端点的有限Oauth SSO服务器验证我的应用程序：
/authorize
/token
/userdata
SSO不提供/introspect端点，也不发出JWT。
我想要做的是让Spring来处理身份验证，但是基于/userdata的结果，我想生成自己的JWT来中继到服务。
我的问题：
这个是可能的吗？
如果是这样的话，有人能给我指点或者引导我找到让我开始工作的资源吗？
浏览 6提问于2022-10-19得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
云直播活动推荐
腾讯云开发者
