使用 JWT 对 3rd 方进行身份验证的声明

Question

我们设计了一个工作流程，使第 3 方系统 (1) 无需额外身份验证即可使用我们 (2) 的系统，如下所示：

这里是描述：

1. 第 3 方客户端应用程序（Web）想要启动我们的应用程序。它向自己的后端请求令牌。

2. 第 3 方后端生成一个带有随机令牌值的 JWT，与当前用户关联

3. 第 3 方后端通过特定 API 将 JWT 发送到我们的系统

4. 注册后，JWT 被发送回 3rd 方客户端应用程序（web）

5. 第 3 方应用程序通过 JWT 启动我们的客户端应用程序（Web）

6. 我们的应用程序使用已注册的 JWT 调用我们的后端 API

问题如下：

• 如果此工作流程有效/正常
• 在 JWT 中为 user_email、organization_id、token 使用的正确声明是什么

Answer 1

IANA Token Claims registry 应该是标准 JWT 声明的来源。如果您的未列出 - 它可以是任何内容，但您可能希望尽量减少与额外命名空间的潜在冲突。

UPD 看来我误解了这个问题，你宁愿为已获得第 3 方授权的用户提供 API。我删除了现在看起来无关紧要的 oAuth 部分

正如我在 cmets 中所建议的，JWT 带有一个签名，您的后端可以使用第 3 方的公钥对其进行验证。这样一来，您就可以消除几个额外的 API 调用来设置所有内容。

如果您选择这样做，流程可能是这样的：

1. 第 3 方客户端应用程序 (Web) 想要启动我们的应用程序。它向自己的后端请求令牌。
2. 第 3 方后端生成具有正确 issuer、audience 其他必需声明的 JWT，并使用其私钥对其进行签名
3. 第 3 方后端将签名的 JWT 返回给客户端
4. 第 3 方应用程序通过 JWT 启动我们的客户端应用程序（Web）
5. 我们的应用程序使用已注册的 JWT 调用我们的后端 API（后端将使用令牌颁发者和第 3 方公钥验证令牌签名）。

验证是part of the standard，因此大多数库都会以最少的配置为您处理这个问题。 请注意已知的 JWT/JWT 验证问题并在您身边缓解这些问题。