我们正在与商业客户一起测试我们自己的 OIDC-IDP。 （我们无权访问客户端代码。）经过一些测试，客户端总是返回
OpenID Connect 令牌验证失败：令牌签名无效 (ID_TOKEN)
IDP 在网络中，客户端在我们自己的网络中，中间有一个 SSL 断路器。我们有一个测试客户端，也在 WWW 中，运行良好。
我的问题是，OIDC 客户端使用哪个证书来验证签名。是IDP网站的证明吗？如果是这样，可能是这个错误的原因，是 ssl-breaker 替换了原始证书吗？
【问题讨论】：
标签： verification xml-signature openid-connect
当您编写“IdP”和“client”时，我知道您指的是什么，但我想提一下，您通常会看到 OP 和 RP 用于 OIDC 文档/讨论。
您正在测试的商业 RP 表明 ID 令牌（即 JWT）的签名验证失败。为了具体回答您的问题，不，不是使用 OP 网站上的 x509 证书来验证签名。 RP 用于验证签名的密钥取决于您是否已将 OP 配置为使用以下方式对 ID 令牌进行签名：
请查看此线程上接受的答案以了解上下文： RS256 vs HS256: What's the difference?
在前一种情况下 (HS256)，您的 OP 使用密钥对 ID 令牌进行签名。并且您的 RP 必须使用相同的密钥验证签名。 （注意：您可能知道，保持此共享密钥的安全和安全很重要。）如果这是您的环境，也许商业 RP 有一个配置选项，允许您上传或复制/粘贴密钥。
在后一种情况下 (RS256)，您的 OP 使用私钥对 ID 令牌进行签名，但您的 RP 使用其对应的公钥验证签名。如果这是您的环境，也许商业 RP 有一个配置选项来指定“jwks_uri”和“kid”。它们分别指的是您的公钥发布到的 URI 及其密钥 ID。
【讨论】：