Micronaut配置未颁发JWT刷新令牌
Micronaut是一种轻量级的Java框架，用于构建云原生应用程序。它具有快速启动时间、低内存占用和高性能的特点。在云计算领域，Micronaut可以用于开发和部署微服务架构，提供可伸缩性和弹性。
JWT（JSON Web Token）是一种用于身份验证和授权的开放标准。它由三部分组成：头部、载荷和签名。头部包含加密算法和令牌类型等信息，载荷包含用户的声明信息，签名用于验证令牌的完整性和真实性。
刷新令牌是一种用于延长访问令牌有效期的机制。当访问令牌过期时，可以使用刷新令牌来获取新的访问令牌，而无需重新进行身份验证。
在Micronaut中配置未颁发JWT刷新令牌可以通过以下步骤完成：
- 首先，确保你已经集成了Micronaut Security模块。可以在项目的构建配置文件中添加相应的依赖项。
- 在Micronaut的配置文件中，添加JWT相关的配置项，包括密钥、过期时间等。可以使用Micronaut提供的配置文件来管理这些配置项。
- 创建一个JWT刷新令牌的服务类，用于生成和验证刷新令牌。这个服务类可以使用Java的加密库来实现JWT的生成和验证逻辑。
- 在需要进行身份验证的接口或方法上添加相应的注解，以启用JWT的验证功能。可以使用Micronaut Security模块提供的注解来实现。
- 在用户登录成功后，生成并返回一个刷新令牌给客户端。客户端可以将刷新令牌保存在本地，并在访问令牌过期时使用它来获取新的访问令牌。
- 在刷新令牌的服务类中，实现刷新令牌的逻辑。当客户端使用刷新令牌请求新的访问令牌时，服务类可以验证刷新令牌的有效性，并生成并返回一个新的访问令牌。
推荐的腾讯云相关产品和产品介绍链接地址：
- 腾讯云API网关：https://cloud.tencent.com/product/apigateway
- 腾讯云密钥管理系统（KMS）：https://cloud.tencent.com/product/kms
- 腾讯云容器服务（TKE）：https://cloud.tencent.com/product/tke
- 腾讯云云原生应用平台（TKE）：https://cloud.tencent.com/product/tke
- 腾讯云数据库（TencentDB）：https://cloud.tencent.com/product/cdb
- 腾讯云对象存储（COS）：https://cloud.tencent.com/product/cos
- 腾讯云区块链服务（BCS）：https://cloud.tencent.com/product/bcs
请注意，以上推荐的腾讯云产品仅供参考，具体选择应根据实际需求和项目要求进行评估和决策。
相关·内容
我一直试图找到一个指南，在Rails 6中实现一个使用JWT+Refresh令牌的auth，并使用一个没有将令牌保存在localStorage中但在内存中保存的React客户端(我读过的几乎每一个教程都使用带有localStorage的玩具应用程序，而不是一种可接受的可生产的解决方案)。
我已经发现Doorkeeper是后端的一个很好的解决方案，我正在将它与 gem一起使用，它将访问令牌转换为JWT，但对于刷新令牌却不这样做(这意味着它不是JWT，而是编码的令牌)。我试图查看gem，以复制刷新令牌的行为，但我在Ruby上不是很好，所以我做不到。
有关于如何将刷新令牌转换为JWT的指南吗？
谢谢
浏览 9提问于2021-06-30得票数 0
回答已采纳
1回答
我正在尝试为我的web-api设置基于令牌的身份验证。到目前为止，我正在正确地生成令牌，但我在授权令牌时遇到了问题。使用邮递员，我在所有帖子上都收到了401未经授权的通知。我目前已经对Jwt进行了如下配置： Startup.cs public class Startup
{
public Startup(IConfiguration configuration)
{
Configuration = configuration;
}
private IConfiguration Confi
浏览 23提问于2020-12-15得票数 2
回答已采纳
我正在研究Oauth2，以允许开发人员授权其应用程序的用户使用我的服务。我发现一些消息来源说，当用户发送断言(在我的例子中是JWT)时，我的授权服务器应该返回访问令牌，但它不应该返回刷新令牌。我想知道返回刷新令牌有什么坏处。开发人员可以通过调用一个Api来使刷新/访问令牌无效，该Api使从特定JWT的id授予的任何访问权限无效。
浏览 4提问于2017-02-23得票数 1
2回答
使用JWT实现了Django REST和身份验证。对于JWT令牌，我们必须在它过期之前对其进行刷新。过期后，JWT将不会提供新的令牌。
对于我的移动设备，我需要每10分钟(JWT_EXPIRATION_DELTA)刷新一次令牌。如果用户没有活动超过10分钟，那么我需要要求登录。有没有什么方法可以在JWT令牌过期后刷新令牌。(我们可以将刷新时间限制为2天)
在Mobile中处理这种行为的最好方法是什么？
谢谢。
浏览 1提问于2017-03-02得票数 7
回答已采纳
我正在REST中实现一个基于JWT的身份验证系统，并希望在令牌中使用JWT_ID声明。根据，JWT允许只使用一次令牌：
jti (JWT ID)：唯一标识符；可用于防止JWT被重放(允许只使用一次令牌)
我想知道JWT应该多久重新生成一次？
应每一项要求
只限登入
关于令牌刷新(如果使用刷新令牌系统)
注意：，我不使用Auth0进行身份验证。
浏览 2提问于2019-05-09得票数 1
回答已采纳
2回答
我想配置micronaut安全性，使JWT令牌永远不会过期。我已经尝试将配置设置为空，如下所示： token:
jwt:
enabled: true
signatures:
generator:
access-token-expiration: null 和 accessTokenExpiration: null 但没那么走运。从代码中可以看出，空的过期时间总是返回true： https://github.com/micronaut-projects/micronaut-security/blob/master/s
浏览 17提问于2019-06-04得票数 1
我已经在component/lib文件夹中部署了扩展包。WSO2IS仍然使用JWTTokenIssuer来生成令牌。我在扩展包中看不到任何错误。
我让customTokenIssuer重写OauthTokenIssuerImpl来获取自定义创建的令牌。但是当我调试日志时，它同时实例化了customTokenIssuer和JWTTokenIssuer，但是框架并没有使用customTokenIssuer来生成令牌。
我已经用customTokenIssuer类更新了identity.xml。
是我在POM中遗漏了什么，还是在任何XML中遗漏了某些条目？
[2019-05-23 10:53:59,
浏览 0提问于2019-05-24得票数 0
我正在尝试使用JWT创建一个自定义的访问令牌系统。我已经创建了一个用于签名和验证JWT访问令牌的系统。
然而，我发现很难获得关于刷新令牌应该包含什么声明的信息。
我是否应该创建与访问令牌相同的刷新令牌-过期时间更长，以便可以使用验证访问令牌的相同函数来验证刷新令牌？
浏览 4提问于2021-07-14得票数 0
1回答
我在Micronaut中创建了一个应用程序，使用JWT令牌来保证安全性
mn create-app --features=security-jwt,data-jdbc,reactor,graalvm example.micronaut.micronautguide --build=gradle --lang=java
现在我所有的路线都被禁止了。如何排除某些路由(即登录)从JWT令牌检查。我在没有注释和使用注释IS_ANONYMOUS的情况下都尝试过
package logfetcher;
import io.micronaut.http.MediaType;
import io.micro
浏览 5提问于2021-11-18得票数 1
1回答
在OAuth2.0中，有两种方法可以对JWT令牌进行签名--使用对称散列算法(如HS256)或使用非对称散列算法(RS256)。
如果我们使用非对称散列算法，比如RS256，我们需要访问令牌和刷新令牌吗？我相信它们不是必需的，因为无论有效负载中存在什么声明，资源服务器都可以独立验证(只要它知道授权服务器的公钥)。
那么访问令牌和刷新令牌的用例是什么？只有对称散列才需要它吗？
请帮助我更好地理解这一点。提前谢谢。
浏览 0提问于2019-05-01得票数 0
1回答
如何获取JWT格式的刷新token？团队正在使用AAD进行身份验证，正在使用的OIDC库希望令牌在JWT中用于解码目的。
浏览 10提问于2021-11-13得票数 0
回答已采纳
1回答
我们使用Azure活动目录Oauth代码流对用户进行身份验证。我们使用代码获得了access_token、id_token和refresh_token (在重定向URL上得到的)。在成功的身份验证之后，我们使用id_token来授权每个请求，并且可以使用从/discovery/v2.0/keys api获得的公钥来验证JWT。
现在，JWT将在1小时后到期。所以我们需要刷新这个id_token。
我正在使用下面的id_token刷新cURL
curl --request POST \
--url https://login.microsoftonline.com/{tenant_id}/
浏览 2提问于2020-04-29得票数 2
回答已采纳
我使用laravel / jwt进行jwt身份验证。但是，当我进行身份验证时，只需获取访问令牌，而不是刷新令牌。
在package.json中
{
...
"require": {
"php": "^7.1.3",
"barryvdh/laravel-cors": "^0.11.3",
"fideloper/proxy": "^4.0",
"laravel/framework": "5.8
浏览 0提问于2019-07-27得票数 3
1回答
我已经使用访问令牌、刷新令牌和刷新令牌轮换构建了一个身份验证。当用户登录时，系统生成一个JWT令牌和一个UUID哈希刷新令牌及其刷新令牌id，然后返回给用户。
初始化刷新令牌是一个UUID令牌，它使用bcrypt对UUID令牌进行散列，然后保存到数据库中。在数据库中，除了保存刷新令牌id和散列令牌外，我还保存了其过期日期、其userId、活动状态和已撤销的ip。
访问令牌作为Bearer令牌在JWT验证的Authentication标头中传递。当一个访问令牌过期时，它使用旧的刷新令牌值及其id调用/refresh-token，以获得新的访问令牌和刷新令牌对。如果刷新令牌过期，我将要求用户重新登
浏览 6提问于2021-10-19得票数 1
我使用jwt进行身份验证，并希望允许刷新令牌，但刷新令牌似乎仍然无限期有效。是否有限制刷新令牌使用量的实现？我知道字段JWT_REFRESH_EXPIRATION_DELTA可以确定令牌的有效期，但这并不能解决当前的问题。
from rest_framework_jwt.views import obtain_jwt_token, refresh_jwt_token, verify_jwt_token
urlpatterns = [
url(r"^jwt/create/?", obtain_jwt_token, name="jwt-create"),
浏览 2提问于2020-03-06得票数 0
1回答
我正在开发一个web应用程序，它在后端使用Go和基于JWT的身份验证。当用户登录时，我向他们发送具有较短到期时间的访问令牌和具有较长到期时间的刷新令牌。这两个令牌都包含username作为它们的有效负载。它们是用不同的秘密创造的。我的问题是关于注销。当用户发送注销请求时，我希望使其刷新令牌无效，以便他们在注销后需要再次登录。作为解决方案，我将把刷新令牌存储在我的数据库的黑名单表中。我的问题是，在将刷新令牌存储到数据库中之前，我是否需要对其进行散列。谢谢。
浏览 20提问于2020-03-30得票数 1
回答已采纳
我需要一些帮助来配置Micronaut和Vault。我试图从我的application.yml属性从我的本地仓库从Micronaut的秘密。
我已经下载了Vault CLI并启动了一个dev服务器，在此之前，我已经用vault kv put secret/application SECRET_GENERATOR_JWT=foobar在kv秘密引擎中配置了一个秘密。
对于Micronaut，我正在读取以配置与Vault的连接，但是当我在本地启动应用程序时，会收到以下错误：
ERROR io.micronaut.runtime.Micronaut - Error starting Micronau
浏览 0提问于2021-03-31得票数 0
回答已采纳
我目前正在使用标识服务器4(基于.Net核心的标识服务器4)来发出JWT令牌。我有一个.Net核心web，它有中间件，以便在Startup.cs中验证JWT
services.AddAuthentication("Bearer")
.AddJwtBearer("Bearer", options =>
{
options.Authority = "http://localhost:5005";
opt
浏览 2提问于2019-10-16得票数 0
回答已采纳
我正在实现一个定制的JSONWebTokenSerializer。到目前为止，它运行良好，但我需要启用令牌刷新，但当我这样做并尝试刷新令牌时，我会得到验证错误orig_iat field is required。在检查从jwt_payload_handler返回的有效负载时，没有任何orig_iat field属性。
class CustomJWTSerializer(JSONWebTokenSerializer):
@property
def username_field(self):
return "username_or_email_or_phone"
def
浏览 1提问于2018-12-11得票数 1
在米洛诺，我有一个非常基本的要求。我只想解码JWT令牌，并检查声明映射中是否存在一个键。我还没有遇到任何只是验证令牌的实现。我已经实现了自定义身份验证提供程序，但是在调试时，API返回401，没有进入身份验证函数。
import io.micronaut.http.HttpRequest;
import io.micronaut.security.authentication.AuthenticationProvider;
import io.micronaut.security.authentication.AuthenticationRequest;
import io.micronaut
浏览 11提问于2022-11-14得票数 0
根据，刷新令牌仅适用于需要显式刷新令牌的高级场景。
在哪种情况下我应该使用这个令牌，使用它的好处是什么？
private afAuth: AngularFireAuth
this.afAuth.auth.currentUser.getIdToken()
.then(idToken => // Gives me a different token from key name called pa);
另外，我不确定refreshToken和getIdToken()返回的令牌之间的区别。目前，我将后者用于HTTP请求。
注释： getIdToken返回一个JWT令牌，用于标识Firebase
浏览 0提问于2018-02-03得票数 8
回答已采纳
1回答
我已经在我的应用程序中使用了Pusher ，直到两天前，它一直工作得很好。它因以下错误而停止：
无法设置用户id，jwt拒绝:禁用:无效JWT发行者
知道怎么解决这个问题吗？它是与服务器端有关还是在android中？
fun setPusherBeam(userId: String){
PushNotifications.start(context, BuildConfig.INSTANCE_ID)
val tokenProvider = BeamsTokenProvider(
BuildConfig.PUSHER_BEAM
浏览 0提问于2020-06-29得票数 0
回答已采纳
我正在尝试使用keycloak JWT来使用Micronaut GraphQL。我能够使用基本身份验证，尝试转移到持有者令牌，但我遗漏了一些东西，因为我总是得到401未授权，但我在日志中看不到任何有用的错误消息，即使日志设置为TRACE 使用Micronaut 3.0.0。 我的application.yml看起来像这样： micronaut:
application:
name: myapp
server:
cors:
enabled: true
port: 8080
security:
authentication: bearer
浏览 39提问于2021-10-22得票数 0
1回答
我创建的令牌的过期时间是一周
expiration_time = timedelta(weeks=1)
app.config['JWT_ACCESS_TOKEN_EXPIRES'] = expiration_time
如果用户在令牌过期前使用令牌，如何让令牌持续更长时间？例如，如果用户使用令牌并发送消息，我希望刷新令牌的过期时间，并将其再次设置为一周。有没有办法做到这一点？
浏览 10提问于2018-02-16得票数 0
回答已采纳
我注意到，当我在登录后从Azure AD获得JWT时，JWT指定"“作为颁发机构。但是，如果我使用client_credentials流获取JWT，则颁发机构是"“。由于拥有不同的颁发机构，因此很难将应用程序配置为同时使用两种JWTs，因为配置过程只允许您指定一个颁发机构。
为什么微软对JWTs使用不同的颁发机构？我认为这是因为MSFT想要分离这两种使用场景。还有什么其他原因让我错过了吗？
浏览 1提问于2019-11-01得票数 1
1回答
刷新令牌宽限期的安全含义
、、、
我有一个使用构建的OAuth2服务器，默认情况下，刷新令牌在使用时立即被撤销。这意味着，如果客户端使用刷新令牌请求新的访问令牌，但由于网络中断而未收到响应，则它们将被迫重新进行身份验证。
该库提供了设置，它是在使用刷新令牌和撤销令牌之间等待的时间量。如果客户端使用刷新令牌但未收到响应，则该原始刷新令牌仍将对REFRESH_TOKEN_GRACE_PERIOD_SECONDS有效，从而允许客户端获取新的访问令牌，而无需重新进行身份验证。
据我所知，在使用时立即撤销刷新令牌的目的是为了防止，但由于此授权服务器独占使用https、。
是否有刷新令牌撤销的宽限期可能导致的其他漏洞？从不撤销刷新令牌的含
浏览 13提问于2021-03-04得票数 1
1回答
我们在Goole Cloud中使用不记名令牌流:我们的合作伙伴/客户创建JWTs，使用私钥对其进行签名，然后将其发送到Google。Google返回一个JWT，然后合作伙伴/客户使用我们的API。 现在，我们希望允许这些合作伙伴向JWT添加自定义声明。我们只需要再多一个定义明确的声明，其他什么都不需要。google返回的JWT忽略了我们的自定义声明，它们根本不是我们最终得到的JWT的一部分。 如何允许合作伙伴在与Google签署其无记名令牌时设置自定义声明？
浏览 25提问于2019-07-03得票数 1
回答已采纳
当我从SPA web app (React)访问托管在Azure中并受Azure AD保护的自定义应用程序接口(.NET框架)时，我得到了401。access_token看起来很好，我可以很容易地在jwt.io中解释它，我用这个教程设置了这两个应用程序
我的两个应用程序(API和SPA)都启用了两个令牌的隐式授权。我是不是漏掉了什么？我可以授权用户，在SPA中获取他们的令牌。当我在Azure中禁用web api的身份验证/授权时，一切正常。
SPA应用程序中的应用程序接口权限
浏览 2提问于2020-10-20得票数 0
我正在使用Azure B2C连接到外部OpenID连接身份提供商，我在B2C中创建了一个基本用户流，它可以工作，但只带回了少量声明，因此我需要创建一个自定义策略来将自定义输入参数传递到我的IDP并收集其他声明。 我从SocialAndLocalAccount示例开始，并使用我的IDP的详细信息进行了修改： TrustFrameworkBase.xml(缩短至技术简介+用户体验) ...
Subject
string
UI Loc
浏览 45提问于2021-02-26得票数 0
回答已采纳
3回答
我正在我的应用程序中实现JWT，我希望使它们尽可能安全。我将列出我所计划的一切，我将非常感谢关于这个实现的安全性的任何建议。这是我的网站，我有充分的访问它的每一个方面，前端和后端。
这将是一个SPA，使用API访问后端.我使用JWT来保存每次命中API时的DB调用。
JWTs
JWT存储在access_token cookie中。它们首先进行签名，然后使用何塞-杰沃特加密。签名算法为HS256，加密为DIR。它们包括用户ID、过期exp声明和其他几个自定义声明。JWT在30分钟内到期，JWT cookie在7天内到期。
(简写)：
存储在cookie中的JWT
JWT包括用户ID
JWT签名后
浏览 0提问于2016-08-12得票数 14
1回答
我有一个带有jwt和刷新令牌的网站。jwt的生存期非常短，大约为5分钟，当选中“记住我”时，刷新令牌生存期设置为大约6个月。
我想知道什么是最好的解决方案时，记住我是不受约束的。刷新令牌是否应该具有更短的生存期？几个小时？或者在离开网站时，我应该使用jwt/refresh令牌数据清除本地存储？还有其他更好的解决办法吗？
浏览 0提问于2019-11-21得票数 1
回答已采纳
我的目标是使用Firebase Auth对google端点API进行身份验证。在web客户端中，我有一个来自Firebase user.getToken() 的JWT令牌。
此令牌是否适合用于向Google终结点发出请求？或者我的服务器应该向客户端提供一个自定义的jwt令牌？
user.getToken().then(function(idToken) {
userIdToken = idToken;
})
$.ajax({
type: "GET",
url: backendHostUrl + '/_ah/api/my-api/v1/authed&#
浏览 2提问于2017-02-24得票数 0
我正在使用.Net Core2.0创建的Web的JWT令牌，并将它们与Angular 7一起使用。用户将对每个项目具有不同的权限，并且用户可以在不注销的情况下切换项目。我想要更新用户的声明，当他更改他的项目，以便与该特定项目相关的权限可以changed.Is它可以更新/添加JWT令牌的声明。 或者其他更好的方法来实现这一点。 致以敬意，
浏览 17提问于2019-07-01得票数 0
回答已采纳
1回答
我正在开发一个移动应用程序，我意识到我的令牌有一个有限的时间。我使用的是Symfony服务器，它具有刷新令牌的功能：
/**
* @Route("/api/refresh", name="api_refresh")
*/
public function refreshTokenAction(Request $request)
{
if(!$request->headers->has('Authorization')) {
return;
}
$extractor = new Authori
浏览 2提问于2017-04-23得票数 4
回答已采纳
3回答
我引用了另一篇关于如何使用JWT刷新令牌的文章。
我有一个非常常见的架构的应用程序，我的客户端(web和移动)与REST对话，然后与服务层和数据层进行对话。
我理解JWT令牌身份验证，但我对如何使用刷新令牌感到有点困惑。
我希望我的JWT身份验证具有以下属性：
JWT令牌的到期时间为2小时。
客户端每小时刷新一次令牌。
如果用户令牌未刷新(用户处于非活动状态，应用程序未打开)并过期，则他们需要在任何时候重新登录。
我看到很多人声称使用刷新令牌的概念使这成为一种更好的体验，但是，我不认为这有什么好处。这似乎增加了管理它的复杂性。
我的问题如下：
浏览 9提问于2015-08-17得票数 91
2回答
我有一些关于实现刷新令牌的问题。我搜了很多遍，但什么也没找到：
我必须使用jwt作为刷新令牌，还是可以是散列字符串？在刷新令牌中使用jwt有什么好处？
刷新令牌是否应该有过期时间？我想使用刷新令牌的remember me功能，所以如果用户返回网站或移动应用程序后，他应该能够继续作为一个登录用户。
我必须将刷新令牌发送到客户端吗？(我们将其存储在数据库中，并在注销时删除)
浏览 0提问于2019-04-09得票数 1
mn create-app my-project --features mongo-reactive,security-jwt
我在Micronaut的官方网站上找到了这个。我想知道如何知道Micronaut支持的特性和特性的确切名称。
浏览 0提问于2020-06-11得票数 1
我在. net core 2.2web API中有应用程序，有jwt身份验证，也有过期日期。
这里我对这个jwt令牌和webapi令牌库的安全性有一些疑问
1:在这里，我之前的jwt令牌遇到了问题，具有相同的重新登录(对于同一用户)这里的令牌是不同的，但前一个令牌在其到期日期之前也有效，所以我想知道如何处理前一个令牌，该令牌仍然有效，但有一个新的令牌是为相同的creandiantial生成的
2:想要验证我的令牌是否来自可信来源(这里我还在startup.cs中添加了CROS ) .so有任何更安全的方法来验证令牌命中来自可信/变量(用户身份验证令牌)位置
3:我应该如何确保我的令牌在(用户到
浏览 0提问于2019-01-26得票数 3
1回答
我正在用groovy.I探索micronaut框架中的安全oauth2.0。我从micronaut网站生成了项目。 https://micronaut.io/launch/ Micronaut版本: 2.5.9语言: Groovy Build : Gradle测试框架: JUnit 当我在运行应用程序后出现以下错误 [main] ERROR io.micronaut.runtime.Micronaut - Error starting Micronaut server: Bean definition [io.micronaut.security.oauth2.configuration.O
浏览 97提问于2021-07-17得票数 0
我有react应用程序，可以通过Azure AD登录用户。在那之后，我将react应用请求创建到我的.net核心mvc应用中，标题为Authorize。但是当我在我的控制器中添加Authorize attr时，我得到了错误： 承载无效“invalid_token”，error_description=“签名无效” 所有我需要的是，我的后端应用程序只检查范围或角色从JWT令牌，并允许获得一些数据。我知道JWT是正确的，并反应应用程序登录用户没有任何问题。 与此类似的问题：https://forum.ionicframework.com/t/validating-token-signatures
浏览 15提问于2020-12-08得票数 0
回答已采纳
1回答
角键斗篷与弹簧引导401误差
、、、、
我在Spring中开发了几个微服务，并使用Keycloak 15对它们进行了安全保护，我使用带有letsencrypt证书的nginx反向代理将微服务部署到了码头中的AWS EC2实例上，突然一些微服务总是返回401错误，当我在Postman / Chrome中检查响应头时，我得到了以下error="invalid_token"，error_description=在试图解码Jwt时发生了一个错误: iss声明是无效的“，error_uri=”应用程序在本地主机上运行得很好。
请帮帮我，我已经把头扯了几天了
浏览 5提问于2021-12-18得票数 0
我正在使用OpenIddict为我的spa发行JWT令牌。我已经发布了JWT，但是我无法从JWT中间件中得到它们的声明。我已经证实索赔是正确的。注:我使用的是EF 6，而不是身份证。
Startup.cs
public class Startup
{
public Startup(IHostingEnvironment env)
{
var builder = new ConfigurationBuilder()
.SetBasePath(env.ContentRootPath)
.AddJsonFile("
浏览 0提问于2018-10-24得票数 2
回答已采纳
1回答
我有Native Phone App (在React Native中)和带有基于JWT的身份验证的Express REST API。我有一套7天的过期设置。
我是否应该在每次用户“冷”打开应用程序时刷新(生成新的和抛出旧的)令牌(例如，在两天不活动后)？
或者只是使用旧的，并像前一天一样刷新它，或者再次要求登录组合。
所以我的问题是:刷新它？如果是，什么时候？
浏览 0提问于2019-09-20得票数 0
1回答
我目前正在尝试使用以下文档实现Oauth2.0来保护API https://docs.microsoft.com/en-us/azure/api-management/api-management-howto-protect-backend-with-aad 并且当前使用由azure apim提供的演示会议API来测试实现。 并且当前在开发人员门户中测试期间收到的错误如下： "message"："JWT验证失败:声明值不匹配:aud=xxxxxxxx-xxxx-xxxxxx..“ 通过解码令牌及其匹配，将传递的令牌与声明值进行比较。 我有如下的jwt令牌验证策略 &l
浏览 26提问于2019-08-29得票数 2
回答已采纳
JWT的好处之一是避免在服务器端管理/存储会话。但是，在JWT中，服务器需要知道secret，以证实传入的消息是有效的。
我的问题是:服务器不需要在某个地方存储secret来验证来自浏览器的JWT令牌吗？
浏览 1提问于2016-08-30得票数 0
回答已采纳
1回答
当应用程序与颁发者或身份提供者之间存在信任关系时，此应用程序如何识别仅来自颁发者的安全令牌？因此，令牌中的一些信息是否与声明一起存在，或者它是在我们在应用程序中创建身份提供者时最初定义的？
浏览 2提问于2012-08-22得票数 1
回答已采纳
1回答
有没有办法允许来自多个来源的JWTs？ 我有一个REST API，我只允许通过持有者令牌身份验证进行访问，而且我真的只需要验证这些令牌，所以我真的不需要OIDC带来的所有附加功能。 假设我将Keycloak设置为身份提供者。我会相应地配置quarkous-oidc。但是现在我还想允许我在另一个服务中创建的JWT，用于服务到服务的通信。这不是身份提供者，而是我只是使用smallrye-jwt来创建一些“内部”令牌。 因此，实际上我似乎更喜欢使用quarkus-smallrye-jwt，但是我不能为多个租户配置它。 我认为将密钥整合到JWKS中并将其提供给quarkus-smallrye-jwt
浏览 45提问于2021-08-25得票数 5
回答已采纳
我有一个Micronaut微服务，它通过JsonWebTokens (JWT) 处理身份验证。
现在我想扩展这个代码。我的应用程序中的用户有一些额外的属性，如电子邮件、adress、teamId等。我在数据库中有所有用户。
如何在后端控制器方法中知道哪个用户对应于客户机发送的JWT？
指南包含了Micronaut REST控制器的示例代码：
@Secured(SecurityRule.IS_AUTHENTICATED)
@Controller
public class HomeController {
@Produces(MediaType.TEXT_PLAIN)
@Get
浏览 7提问于2020-08-18得票数 2
回答已采纳
.NET5有大量用于身份验证的中间件和基础设施。您可以包含一些NuGet包，在Startup.cs中连接一些配置，您的应用程序可以理解cookies和会话。我在网上找到的用于基于JWT的身份验证的所有示例都让我手动实例化一个JwtSecurityDescriptor并在其中设置属性。这确实让人觉得应该是SignInManager.PasswordSignInAsync流的一部分。例如：
我是不是遗漏了什么？在这种情况下，在线示例会跳过几个步骤来“简化”演示吗？前面的每一个示例都手动创建JWT，但将大量解释委托给中间件。
为了澄清，我不需要关于如何验证密码的指导(我使用
浏览 6提问于2021-08-23得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM活动推荐
腾讯云开发者
