代码之家 › 专栏 › 技术社区 › Anton

IdentityServer 3签名证书到期

identityserver3 x509

Anton · 技术社区 · 7 年前

当使用IdentityServer 3时,签名证书(用于签名jwt令牌)过期时会发生什么?

当验证由过期证书签名的令牌时,客户端(客户端是使用IdentityServer进行身份验证的Web API)会发生什么情况?(例如,如果 https://github.com/IdentityServer/IdentityServer3.AccessTokenValidation 用作中间件。)

2 回复 | 直到 7 年前

Matt 7 年前

我刚刚测试了这个(在IdentityServer4上),它似乎可以在过期的签名证书上继续正常工作,下面是我的测试证书的有效性:

我可以登录,获取ID令牌和访问令牌,然后使用访问令牌访问API。然而,IdentityServer所做的是记录警告:

2017-07-13 12:15:54.871 +02:00 [Warning] 
    Certificate "CN=test_expired_signing_certificate" has expired on "13/07/2016 14:14:37"

这与IdentityServer(3)文档所说的相符 here

IdentityServer在运行时引发许多事件,例如:

过期/无效/无签名证书

因此,这将是你在为时已晚时检测它的方式。更好的选择是定期在密钥有效期内滚动签名密钥,这是常见的方法,也允许在必要时撤销受损密钥。看见 this issue 在讨论过程的地方,IdentityServer可以处理两个键:

开始滚动时,设置两个关键点,并在某个点交换主关键点和辅助关键点。

Heinzlmaen 4 年前

免责声明:我从未使用过IdentityServer3

外部世界不知道您的证书,因此不知道它已过期。外部世界只会在以下位置看到您的公钥:

YourIdentityServer.com/.well-known/openid-configuration

或者更准确地说:

YourIdentityServer.com/.well-known/openid-configuration/jwks

推荐文章

Matthew · Identity Server 3+ASP。NET Core 2.0 MVC应用程序-联合单一注销,不包括在结束会话之前重定向到ADFS

7 年前

Tom Troughton · 使用Identity Server 3,即使在成功进行承载令牌身份验证后,ClaimsPrinciple也为null

7 年前

Georges Legros Don G. · IdentityServer:客户端级别的模拟

7 年前

B.Balamanigandan · 使用Javascript删除浏览器中的Identity Server Cookie

7 年前

Anton · IdentityServer 3签名证书到期

7 年前

Corné Strijkert · 如何使用Identity Server 3保护web api

7 年前

General Electric · 用于用户管理的Identity Server和web api

8 年前

Callback Kid · 如何在ProfileDataRequestContext中包含access_token声明?

8 年前

LOST · 如何使IdentityServer向访问令牌添加用户标识?

8 年前

intrepidus · 在自定义登录页面上使用现有cookie身份验证的身份状态

8 年前