JWT 验证的 Google Public 密钥在哪里？

Question

我有一个 Angular11 UI 前端利用 Google 的 RS256 身份验证

import { SocialAuthService, GoogleLoginProvider, SocialUser } from 'angularx-social-login';
在 app.module.ts 添加 providers: [{ id: GoogleLoginProvider.PROVIDER_ID, provider: new GoogleLoginProvider('my Google-Client-ID')}]

当 Google 发回 JWT 令牌时，我将其发送到我的 NodeJS 应用程序服务器以建立基于 JWT 的会话通信，因此此 NodeJS 应用程序服务器必须验证此 JWT。根据此 angular-university.io article 部分“利用 RS256 签名”，

Instead of installing the public key on the Application server, it's much better to have the Authentication server publish the JWT-validating public key in a publicly accessible Url.

我找到了 Erji 的这个 JWK（不是 JWT）link https://www.googleapis.com/oauth2/v3/certs from Google Identity。这是正确的 public 键吗？

Answer 1

它不完全是 x509 证书，但是是的，JWK 用于验证给定的签名 JWT。

如果我们检查在 Googles documentation

中找到的 .well-known 端点

它指向我们，

jwks_uri    "https://www.googleapis.com/oauth2/v3/certs"

对于包含用于验证已签名 JWT 的当前有效密钥的 JWK。 public 密钥可以由 JWK 端点

中包含的信息构建

中的n是密钥本身，alg是签名算法，kid是密钥标识符。

RFC7517 定义了 JWK 标准并具有字段的完整详细信息

JWT 验证的 Google Public 密钥在哪里？

Where is the Google Public Key for JWT validation?

google-openid

jwt

angular