如何验证Azure AD安全令牌？

在项目中不使用OWIN会有一点困难，或者至少会花费一些时间。

这篇文章这里是一个很好的资源。

由于我没有太多可以补充的内容，除了详细的代码。下面是对你有用的一些内容：

 public async Task<ClaimsPrincipal> CreatePrincipleAsync()
    {
        AzureActiveDirectoryToken azureToken = Token.FromJsonString<AzureActiveDirectoryToken>();
        var allParts = azureToken.IdToken.Split(".");
        var header = allParts[0];
        var payload = allParts[1];
        var idToken = payload.ToBytesFromBase64URLString().ToAscii().FromJsonString<AzureActiveDirectoryIdToken>();
        allParts = azureToken.AccessToken.Split(".");
        header = allParts[0];
        payload = allParts[1];
        var signature = allParts[2];
        var accessToken = payload.ToBytesFromBase64URLString().ToAscii().FromJsonString<AzureActiveDirectoryAccessToken>();
        var accessTokenHeader = header.ToBytesFromBase64URLString().ToAscii().FromJsonString<AzureTokenHeader>();
        var isValid = await ValidateToken(accessTokenHeader.kid, header, payload, signature);
        if (!isValid)
        {
            throw new SecurityException("Token can not be validated");
        }
        var principal = await CreatePrincipalAsync(accessToken, idToken);
        return principal;
    }
    private async Task<bool> ValidateToken(string kid, string header, string payload, string signature)
    {
        string keysAsString = null;
        const string microsoftKeysUrl = "https://login.microsoftonline.com/common/discovery/keys";
        using (var client = new HttpClient())
        {
            keysAsString = await client.GetStringAsync(microsoftKeysUrl);
        }
        var azureKeys = keysAsString.FromJsonString<MicrosoftConfigurationKeys>();
        var signatureKeyIdentifier = azureKeys.Keys.FirstOrDefault(key => key.kid.Equals(kid));
        if (signatureKeyIdentifier.IsNotNull())
        {
            var signatureKey = signatureKeyIdentifier.x5c.First();
            var certificate = new X509Certificate2(signatureKey.ToBytesFromBase64URLString());
            var rsa = certificate.GetRSAPublicKey();
            var data = string.Format("{0}.{1}", header, payload).ToBytes();
            var isValidSignature = rsa.VerifyData(data, signature.ToBytesFromBase64URLString(), HashAlgorithmName.SHA256, RSASignaturePadding.Pkcs1);
            return isValidSignature;
        }
        return false;
    }

这里有一些我在这里使用的函数对你来说是不可用的，它们是自描述的。

我正在使用MS OAuth 2登录到我的网站。我无法在microsoftKeysUrl中找到我的密钥。还有其他地方可以获取正确的密钥吗？

你是说你在令牌中知道密钥的id或名称，但你无法在login.microsoftonline.com/common/discovery/keys中找到它吗？这很奇怪，它应该在那里找到。然而，问题是他们改变了签名算法的版本，并引入了随机数，这会使你很难验证。你使用的是哪个端点来获取令牌，V1还是V2？

经过整整一天的尝试，我终于在这里找到了我的kid。 login.microsoftonline.com/common/discovery/v2.0/keys。但是我必须在AD中启用隐式选项，否则密钥不会显示。

听到这个消息很好。是的，我看到你指定了版本来获取密钥。事情变化很快。

问题的出现原因：

用户使用.net Core 2.0时，需要修改Validate(string token)方法的两行代码，但是他们并不清楚具体如何修改。

解决方法：

用户需要修改以下两行代码：

var configManager = new ConfigurationManager<OpenIdConnectConfiguration>(