Como verificar um token Web JSON

Decodifique o token de ID.

A OpenID Foundation também mantém uma lista de bibliotecas para trabalhar com tokens JWT.

Você também pode usar AWS Lambda para decodificar o grupo JWTs de usuários. Para obter mais informações, consulte Decodificar e verificar os tokens JWT do Amazon Cognito usando. AWS Lambda

Compare o ID de chave local (kid) com o kid público.

1. Faça download e armazene o JSON Web Key (JWK) público correspondente para seu grupo de usuários. Ele está disponível como parte de um JSON Web Key Set (JWKS). Você pode localizá-lo construindo o seguinte URI jwks_uri para seu ambiente:

   https://cognito-idp.<Region>.amazonaws.com/<userPoolId>/.well-known/jwks.json

   Para mais informações sobre JWK e conjuntos JWK , consulte JSON Web Key (JWK).

   nota

   O Amazon Cognito pode alternar a chave de assinatura no grupo de usuários. Como prática recomendada, armazene as chaves públicas na aplicação usando o kid como chave de cache, e atualize o cache periodicamente. Compare o kid nos tokens que a aplicação recebe com o cache.

   Se você receber um token com o emissor correto, mas um kid diferente, o Amazon Cognito pode ter alternado a chave de assinatura. Atualize o cache do endpoint jwks_uri do grupo de usuários.

   Este é um exemplo de arquivo jwks.json:

   {
   	"keys": [{
   		"kid": "1234example=",
   		"alg": "RS256",
   		"kty": "RSA",
   		"e": "AQAB",
   		"n": "1234567890",
   		"use": "sig"
   	}, {
   		"kid": "5678example=",
   		"alg": "RS256",
   		"kty": "RSA",
   		"e": "AQAB",
   		"n": "987654321",
   		"use": "sig"
   	}]
   }

   ID da chave (kid)

   O kid é uma dica que indica qual foi a chave usada para proteger a assinatura web JSON (JWS) do token.

   Algoritmo (alg)

   O parâmetro de cabeçalho alg representa o algoritmo criptográfico usado para proteger o token de ID. Os grupos de usuários usam um algoritmo RS256 criptográfico, que é uma assinatura RSA com SHA-256. Para mais informações sobre RSA, consulte Criptografia RSA.

   Tipo de chave (kty)

   O parâmetro kty identifica o algoritmo criptográfico usado pela família com a chave, como “RSA”, neste exemplo.

   Expoente RSA (e)

   O parâmetro e contém o valor de expoente da chave pública RSA. Ele é representado como um valor codificado em Base64URLUInt.

   Modulus (n) RSA

   O parâmetro n contém o valor de modulus da chave pública RSA. Ele é representado como um valor codificado em Base64URLUInt.

   Usar o use

   O parâmetro use descreve o uso pretendido da chave pública. Neste exemplo, o use valor sig representa assinatura.

2. Pesquise a chave web JSON pública de um kid que corresponda ao kid do JWT.

Use uma biblioteca de JWT para comparar a assinatura do emissor com a assinatura no token. A assinatura do emissor é derivada da chave pública (o módulo RSA "n") do kid em jwks.json que corresponde ao token kid. Talvez seja necessário converter a JWK em formato PEM primeiro. Esse exemplo a seguir adota o JWT e a JWK, e usa a biblioteca Node.js, jsonwebtoken, para verificar a assinatura do JWT:

Usando um dos métodos a seguir, verifique se o token não expirou.

1. Decodifique o token e compare a reivindicação exp com a hora atual.

2. Se seu token de acesso incluir uma aws.cognito.signin.user.admin reivindicação, envie uma solicitação para uma API como GetUser. As solicitações de API que você autoriza com um token de acesso retornarão um erro se o token tiver expirado.

3. Apresente seu token de acesso em uma solicitação ao endpoint userinfo. A solicitação retornará um erro se o token tiver expirado.

A declaração aud em um token de ID e a declaração client_id em um token de acesso devem corresponder ao ID do cliente de aplicação criado no grupo de usuários do Amazon Cognito.

A solicitação de emissor (iss) deve corresponder ao seu grupo de usuários. Por exemplo, um grupo de usuários criado na região us-east-1 terá o seguinte valor de iss:

https://cognito-idp.us-east-1.amazonaws.com/<userpoolID>.

Verifique a alegação token_use.