access_token的正确使用方法是什么？

Question

我正在尝试使用 OAuth。在这个例子中，提供者是 Windows Live。重定向返回了这个片段。我在＆符号之前添加了换行符，以使其更易于阅读。

access_token=EwAwA61DBAAUGCCXc8wU/zFu9QnLdZXy%2bYnElFkAAQcQQB3c7oVYQmQhyeTOiw1Tp5iA7cjrLJbEnvXVoDlu48mjv7WX35RRIK3L3miAQEUrn5ZVNRSUV8dqiZi4kIko93k2bODqpIY7r/nBRmnTTbInajZm0iF1FLjXaFJGzM/XJN4jZiZUtipwaNu66cSwbEhNVUWwZufHjE7SNDUQze3/ciGP9c%2bTampSUS23u%2bcuKrCbj8jPhFIj2Tbritf83YcVaXLJHpEYVz2a1GKHm8/TPot2MgcjD3yBOBd5b/QBImASEcdOpouiYIshi1Ddy20iYL1Jv6JRpPExeWd8q9sEfk4a%2btMHIPFJ%2bdy0e6X9nRMjlx%2bHP0FhUrOp4rADZgAACD41pKeivbukAAIVEy964MrcJsT6MwfHHf54bi9Nfhek/vARUG32qt1HId/3GgYDKcXblAk6I7qW%2boywDMa%2bck59pJms7/pEGqSkLtY%2b5M86%2bWvSG9bNAJWfQnKT1re5L4AxpbJ2J7JOw9md%2byBnt9I3hk%2bQGoY4ZoSMTtZ2QOxIH0rfgxVqrebUjAcCf1AIl7yBusgF1zJITPTBX1fLaEw48VjXjNygQq/N82%2baKZhU2ZMBTtUzgnod4SMrb/IOaQsDF6prVTihGHae6rbRL/Ul4C/au59NAijEBB9evjM6PxSMMpMmag6VTXdVeLeCBFitFwcjtRUH38yIuhPGalBnRTVHyLpm8cS06mrQM2n5j9XnMFBtQzEQEtdvtOsUkIgpVYmqZE38CEh9YAjJBxG1Xo9Pdz/DnHflfc3PWtO1xMZsP/krBMQFxQRTPBOiNv%2bH2DPF1TED35iW%2bS5VDbxjSur1dCVAPqv3Vbduia1moJ1AUYPm9P7%2bcY%2bIV3skuz4Dzk0zQPgU3h7N6zPwr0oi%2bNe548sk6Cqq/wbF7oV6ytuAc0fbedf49I7QA8x8BEruePwNWj2N6v2vJQqQm6fOC%2by7ZQSsJ9830hD6E5yp4YVht%2bux%2b8wu%2bDQ9x/VB6BXLNC%2b4Q2aIhDQmui/JMrgHXgo2okv9FywwVQdaSLXVasfrCVmqzDwGFhIC
&token_type=bearer
&expires_in=3600
&scope=wl.signin%20wl.emails
&user_id=AAAAAAAAAAAAAAAAAAAAAB1EauoOQMnYy_bu42gkx90
&state=STATE

然后我将其解析为名称值对，对每个名称值对应用 decodeURIcomponent。

这给了我 access_token 价值

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

据我了解，此时我所要做的就是添加一个 header Authorization: Bearer 令牌值 但这样做是为了保护路由通过 `[Authorization] 产生类型为 Basic 的 401 Unauth。这让我对如何进行有点不知所措。

查看浏览器调试信息，我看到

WWW-Authenticate: Bearer error=invalid_token

令牌无效是否意味着这是一个不合适的令牌，或者它不能被解析为令牌？
到目前为止我的方法是否正确？
我需要进行某种服务器配置吗？
建议的后续步骤？

访问令牌看起来有点像 Base64，但它不是有效的 base64，我检查过。只要考虑令牌的性质，它可能只是用令牌发行者的私钥加密的声明。如果是这样，您可以通过使用发行者的 public 密钥解密令牌来检查令牌的完整性，但我看不出如何使用此观察来弄清楚为什么我有 401。

更新

这是引入令牌检查的startup.cs代码

  app.UseJwtBearerAuthentication(new JwtBearerOptions
  {
    SaveToken = true,
    TokenValidationParameters = tokenValidationParameters
  });

和 this auth0 web page 无法将我的令牌 解码为 JWT 令牌。进一步阅读表明，JWT 令牌具有三个 dot-separated 部分，每个部分都经过 base64 编码，而这根本不存在于我从 Windows Live 和 Google 收到的令牌中（我已经现在对两者都进行了测试。

因此，如果我想要 JWT 令牌，我可能需要重组令牌请求。更多关于下一集。如果您知道我应该做什么、端点和参数等，请随意写下一集作为答案。另一个问题 What is the difference between id_token and access_token in Auth0 似乎很突出。

Answer 1

access_token 是盒子上写的 - 访问特定资源的令牌。

JWT 是一种身份令牌。要获得其中之一，我需要做的是

使用此端点：https://login.microsoftonline.com/common/oauth2/v2.0/authorize
指定 response_type 的 id_token
包含随机数
指定范围openid。

但回到如何使用访问令牌的问题，您可以在授权 header 中将其用作持有者令牌，以请求相关范围的提供者端点，例如 wl.email

access_token的正确使用方法是什么？

What is the correct way to use access_token?

oauth

asp.net-core-webapi

windows-live

更新