JWKS URL 应该由服务提供者还是 OpenID 提供者托管？答案

【问题标题】：Should a JWKS URL be hosted by the Service Provider or the OpenID Provider?JWKS URL 应该由服务提供者还是 OpenID 提供者托管？
【发布时间】：2019-04-18 19:48:06
【问题描述】：

我想知道将 JWKS URI 托管在服务提供商（SP 模式下的 Pingfederate 服务器）而不是身份验证 OpenId 服务器是否是个好主意。我目前有一个静态公共 JWK，可通过我自己的客户端 Web 应用程序托管的 URL 获得。 JWKS URL 和它的密钥是公开的。

【问题讨论】：

谁在铸造代币？ PingFederate 还是其他？
嗨@AndrewK，你所说的“铸造令牌”是什么意思对不起我还是新来的。
通常，JWKS 端点由颁发令牌的任何一方托管。我不完全了解您的情况。

标签： oauth-2.0 openid pingfederate

【解决方案1】：

OAuth 服务器应托管用于签署其发行的令牌的密钥（即“薄荷糖”）。 OAuth 服务器的密钥需要对客户端（服务提供者）可用，因此它应该提供一个 JWKS 端点。如果客户端已经拥有密钥，它可以验证从 OAuth 服务器接收到的令牌，并且服务器本身不需要 JWKS 端点。

【讨论】：