Asp.net Jwt 令牌验证

Question

ASP.NET Core 2.x 提供了一种使用 JWT 令牌添加承载身份验证的非常好的方法。以下代码是使事情正常运行的最低要求。

{
    TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidIssuer = "https://issuer.com",
        ValidateLifetime = true,
    }
});

我了解 JWT header.payload.signature 的结构，但如果我们使用非对称算法，我们需要验证签名，为此我们需要从以下网址获取公钥：issuer + .well-known/jwks.json。

那么，中间件是否“神奇地”获取公钥并验证签名？另外，中间件是否缓存了公钥以避免在每次验证中获取公钥？

Answer 1

ConfigurationManager 对象负责检索、刷新和缓存验证 JWT 所需的配置元数据，例如颁发者和签名密钥。首次认证开始时，中间件将停用元数据和缓存，请参阅源代码here。