System.IdentityModel.Tokens.Jwtを使用したJWTトークンのデコードと検証

私はJWTライブラリを使用してJson Webトークンをデコードしており、Microsoftの公式JWT実装であるSystem.IdentityModel.Tokens.Jwtに切り替えたいと考えています。

ドキュメントは非常にまばらなので、私がJWTライブラリーで行っていることを達成する方法を理解するのに苦労しています。JWTライブラリには、base64でエンコードされたJWTをJSONに変換してから逆シリアル化できるDecodeメソッドがあります。System.IdentityModel.Tokens.Jwtを使用して同様のことをしたいのですが、かなり掘り下げた後、その方法を理解できません。

価値があるのは、GoogleのIDフレームワークで使用するために、CookieからJWTトークンを読み取ることです。

任意の助けいただければ幸いです。

パッケージ内には、JwtSecurityTokenHandlerから派生するというクラスがありますSystem.IdentityModel.Tokens.SecurityTokenHandler。WIFでは、これはセキュリティトークンを逆シリアル化およびシリアル化するためのコアクラスです。

このクラスには、ReadToken(String)base64でエンコードされたJWT文字列を受け取りSecurityToken、JWTを表すを返すメソッドがあります。

にSecurityTokenHandlerは、ValidateToken(SecurityToken)を取得してSecurityTokenを作成するメソッドもありますReadOnlyCollection<ClaimsIdentity>。通常、JWTの場合、これにはClaimsIdentity、元のJWTのプロパティを表す一連のクレームを持つ単一のオブジェクトが含まれます。

JwtSecurityTokenHandlerには追加のオーバーロードがいくつか定義されValidateTokenていClaimsPrincipal ValidateToken(JwtSecurityToken, TokenValidationParameters)ます。特に、オーバーロードがあります。TokenValidationParameters引数には、（のリストとしてトークン署名証明書を指定することができますX509SecurityTokens）。また、JWTをとしてではstringなくオーバーロードしますSecurityToken。

これを行うコードはかなり複雑ですが、次の場所にあるTokenValidationHandler「ADAL-Native App to REST service-Authentication with ACS via Browser Dialog」と呼ばれる開発者サンプルのGlobal.asax.cxコード（クラス）にあります。

http://code.msdn.microsoft.com/AAL-Native-App-to-REST-de57f2cc

または、JwtSecurityTokenクラスには、ベースSecurityTokenクラスにない追加のメソッドがあります。たとえばClaims、ClaimsIdentityコレクションを経由せずに含まれるクレームを取得するプロパティなどです。また、トークンの未加工のJSONを取得できるオブジェクトPayloadを返すプロパティもありJwtPayloadます。最も適切なアプローチは、シナリオによって異なります。

SecurityTokenHandlerクラスの一般的な（つまり、JWT固有ではない）ドキュメントは、

http://msdn.microsoft.com/en-us/library/system.identitymodel.tokens.securitytokenhandler.aspx

アプリケーションによっては、他のハンドラーとまったく同じように、JWTハンドラーをWIFパイプラインに構成できます。

さまざまなタイプのアプリケーションで使用されている3つのサンプルがあります。

http://code.msdn.microsoft.com/site/search?f%5B0%5D.Type=SearchText&f%5B0%5D.Value=aal&f%5B1%5D.Type=User&f%5B1%5D.Value=Azure% 20AD％20Developer％20Experience％20Team＆f％5B1％5D.Text = Azure％20AD％20Developer％20Experience％20Team

おそらく、あなたのニーズに合うか、少なくともそれらに適応できるでしょう。

JWTトークンのデコードと検証にいくつかのライブラリを使用する理由を単に考えているだけです。

エンコードされたJWTトークンは、次の疑似コードを使用して作成できます

var headers = base64URLencode(myHeaders);
var claims = base64URLencode(myClaims);
var payload = header + "." + claims;

var signature = base64URLencode(HMACSHA256(payload, secret));

var encodedJWT = payload + "." + signature;

特定のライブラリがなくても非常に簡単です。次のコードを使用：

using System;
using System.Text;
using System.Security.Cryptography;

public class Program
{   
    // More info: https://stormpath.com/blog/jwt-the-right-way/
    public static void Main()
    {           
        var header = "{\"typ\":\"JWT\",\"alg\":\"HS256\"}";
        var claims = "{\"sub\":\"1047986\",\"email\":\"jon.doe@eexample.com\",\"given_name\":\"John\",\"family_name\":\"Doe\",\"primarysid\":\"b521a2af99bfdc65e04010ac1d046ff5\",\"iss\":\"http://example.com\",\"aud\":\"myapp\",\"exp\":1460555281,\"nbf\":1457963281}";

        var b64header = Convert.ToBase64String(Encoding.UTF8.GetBytes(header))
            .Replace('+', '-')
            .Replace('/', '_')
            .Replace("=", "");
        var b64claims = Convert.ToBase64String(Encoding.UTF8.GetBytes(claims))
            .Replace('+', '-')
            .Replace('/', '_')
            .Replace("=", "");

        var payload = b64header + "." + b64claims;
        Console.WriteLine("JWT without sig:    " + payload);

        byte[] key = Convert.FromBase64String("mPorwQB8kMDNQeeYO35KOrMMFn6rFVmbIohBphJPnp4=");
        byte[] message = Encoding.UTF8.GetBytes(payload);

        string sig = Convert.ToBase64String(HashHMAC(key, message))
            .Replace('+', '-')
            .Replace('/', '_')
            .Replace("=", "");

        Console.WriteLine("JWT with signature: " + payload + "." + sig);        
    }

    private static byte[] HashHMAC(byte[] key, byte[] message)
    {
        var hash = new HMACSHA256(key);
        return hash.ComputeHash(message);
    }
}

トークンのデコードは、上記のコードの逆バージョンです。署名を確認するには、署名部分と計算された署名を比較する必要があります。

更新：base64 url​​safeエンコード/デコードを実行する方法にどのように苦労しているのかについては、別のSO質問、およびwikiとRFC を参照してください