边缘零信任（第3部分）

大家好，我们又见面了啊~本文《边缘零信任（第3部分）》的内容中将会涉及到等等。如果你正在学习文章相关知识，欢迎关注我，以后会给大家带来更多文章相关文章，希望我们能一起进步！下面就开始本文的正式内容~

利用JSON Web密钥集扩展JWT验证

上一篇文章中，我们学习了JSON Web令牌（JWT）的概念、创建方法和验证方式。第二部分则演示了如何在简单的Express服务器中使用JWT验证中间件。本篇将深入探讨非对称加密算法，特别是RS256算法，并重点介绍JSON Web密钥集（JWKS）。

术语解释

在开始之前，先了解以下几个关键术语：

• JWT (JSON Web Token): 每个请求都需要验证的用于身份验证的信息。
• 算法: JWT使用哈希和签名算法对有效负载进行签名。主要分为两种：
  • 对称算法 (例如HS256): 使用相同的密钥进行签名和验证。
  • 非对称算法 (例如RS256, ES256, PS256): 使用公钥/私钥对。私钥用于签名，公钥用于验证。 理解底层哈希和签名算法的细节并非理解核心工作流程的必要条件。
• JSON Web密钥集 (JWKS): 本篇的重点，用于管理密钥轮换。
• 公钥/私钥: 一对加密证书，私钥用于签名，公钥用于验证。公钥可以公开，而私钥必须保密。

JWKS的优势

第二部分中，我们演示了根据令牌的alg声明和环境变量或公钥来验证对称或非对称算法。本部分将专注于非对称算法，特别是RS256。

使用公钥/私钥对的优势在于，验证过程无需私钥离开签名服务器。公钥可以公开，且无法反向推导出私钥。因此，公钥可在任何地方加载，从而实现任何地方的令牌验证。

然而，如果定期轮换公钥（强烈建议这样做），就会出现一个短暂的窗口期，导致证书不匹配：服务器使用新的私钥签名令牌，而验证端点仍持有旧的公钥，导致验证失败。JWKS提供了一种更优的密钥轮换管理方法。

当发行系统签署JWT时，用于签名的私钥的kid（密钥ID）包含在令牌的头部。验证系统读取alg和kid，并使用具有相同kid的公钥验证签名。JWKS是一个JSON对象，包含一个或多个包含其kid的公钥。令牌头部包含kid声明：

openssl rsa -in privkey.pem -pubout -out pubkey.pem

您现在拥有签名的RSA私钥及其对应的公钥。 下一部分将介绍如何修改之前的Express-JWT示例，以导入这些密钥，在已知的URI上提供JWKS服务，并使用JWKS验证由不同私钥签名的多个令牌。

进一步阅读:

• 私钥和公钥 - ssl.com快速入门
• JWKS属性 - Auth0对JSON Web密钥属性的深入探讨
• RSASSA-PSS - 深入了解RSXXX令牌和PSXXX令牌签名过程的差异

今天关于《边缘零信任（第3部分）》的内容就介绍到这里了，是不是学起来一目了然！想要了解更多关于的内容请关注golang学习网公众号！