刷新的 OAuth2 令牌具有无效签名 (Azure AD OAuth2)

Question

我正在尝试创建一个身份验证流程，其中用户的访问令牌与刷新令牌一起保存在服务器端会话中，当令牌过期时，如果会话仍然有效，它会被更新。但是，在使用与原始令牌相同的方法进行验证时，刷新后我从 Azure AD 返回的令牌具有无效签名。

这是一个说明问题的可运行要点：https://gist.github.com/tlycken/fdaf47dc31e03de43a1a07fbbea2ab91

我所做的基本上是这样的：

1. 当用户请求页面时，检查会话。如果不存在，则重定向到/auth，该/auth 将重定向到 Azure AD，当我返回时，我有一个有效的令牌存储在会话中。

2. 使用jwks-rsa 验证会话中的令牌。 （这通常工作正常，所以我特意在令牌字符串中添加一些内容，以使测试代码中的签名无效。）

3. 如果令牌验证失败，并且会话中有刷新令牌，请尝试使用该刷新令牌获取新令牌。此请求通常返回状态为200 OK 和一组新的访问/刷新令牌。

4. 使用与验证旧访问令牌相同的代码验证新访问令牌（现在不会弄乱令牌）。 这应该可以，IIUC，但它失败并出现错误 invalid signature。

为什么我新刷新的令牌没有通过验证？

更新： 我能够创建一个更简单的流程来重现它；要点已更新。它现在执行以下操作（一路打印这些消息）：

no session, redirecting to /auth
successful auth callback, redirecting to /
verifying old token
decoded user id e7f02a6e-510c-430d-905c-f8a0e63206c2
refreshing
fetching /me with renewed token
got user id e7f02a6e-510c-430d-905c-f8a0e63206c2
verifying new token
token verification failed: invalid signature

除了自己验证令牌之外，我现在还使用它向 Azure 发送请求，希望这样的请求会因无效令牌而失败。但它通过了！

Answer 1

您的代码使用 v1 端点来获取初始访问令牌，但使用 v2 端点来清除刷新令牌。这两个端点的操作方式不同。特别是，v1 端点使用“资源”，而 v2 使用“范围”。

发生这种情况的原因是您显式调用 v1，但依赖于 v2 /openid-configuration 用于刷新令牌端点。

要更正此问题，请将refresh-auth-token.js 的第 19 行更改为

const configResponse = 
   await fetch(`https://login.microsoftonline.com/${AZURE_TENANT}/.well-known/openid-configuration`)