如何在资源服务器上验证oauth令牌

Question

我的授权服务器和资源服务器不同，我在下面有第三方令牌发行者。 https://XXXXXXXXXXX/v2/token

我能够从授权服务器获取访问令牌，但是我无法成功调用我的资源服务器API。

我的资源服务器配置

公共无效配置（IAppBuilder应用） { //有关如何配置应用程序的更多信息，请访问https://go.microsoft.com/fwlink/?LinkID=316888

        var issuer = "https://XXXXXXXXXX/v2/token";
        var audience = "05XXXXXXX29";
        var secret = TextEncodings.Base64Url.Decode("43558e250ab87XXXXXXXXXXXXXf57549c58fca1");

        app.UseJwtBearerAuthentication(
            new JwtBearerAuthenticationOptions
            {
                AuthenticationMode = AuthenticationMode.Active,
                AllowedAudiences = new[] { audience },
                IssuerSecurityTokenProviders = new IIssuerSecurityTokenProvider[]
                {
                    new SymmetricKeyIssuerSecurityTokenProvider(issuer, secret)
                }
            });

}

Answer 1

access_token是一个JWT令牌，它是独立且可验证的。您的资源服务器应仅对其进行验证。有许多用于JWT验证的第三方JWT库，请参见https://openid.net/developers/jwt/