使用 Mule 进行 JWT 令牌验证

Question

我正在尝试创建一个 oAuth 策略来保护使用 JWT 访问令牌的 API。可以通过调用外部 URL 来验证该令牌。

我正在为我的 Mule 代理使用以下 RAML。

#%RAML 1.0
title: Custom API
version: 1
baseUri: http://localhost:8081
securitySchemes:
  oauth_2_0:
    description: |
      This API supports OAuth 2.0 for authenticating all API requests.
    type: OAuth 2.0
    describedBy:
      headers:
        authorization:
          description: |
             Used to send a valid OAuth 2 access token. Do not use with the "access_token" query
             string parameter.
          type: string      
      responses:
        401:
          description: |
            Bad or expired token. This can happen if the user or the API revoked or expired an
            access token. To fix, you should re-authenticate the user.
        403:
          description: |
            Bad OAuth request (wrong consumer key, bad nonce, expired timestamp...). Unfortunately,
            re-authenticating the user won't help here.
/hello:
  get:
  securedBy: [oauth_2_0]

但是，mule 在验证外部服务时无法发送授权标头。

Answer 1

您发布的 RAML 很好，但仅供参考。您必须将 JWT oAuth 令牌执行功能作为自定义策略或作为 Mule 流程的一部分来实施。目前，JWT 令牌验证没有开箱即用的策略。

通常，为了验证令牌，调用外部端点提供令牌作为内部 [策略] 请求的一部分。这意味着策略本身将解析传入的用户请求，并从查询参数或授权标头中提取令牌（删除承载部分）。 AFAIK，授权标头永远不会发送到自省令牌 URL。