无法验证使用es256签名的Keycloak生成的JWT

Question

我正在尝试将Keycloak用作OpenID提供程序。由于合规性原因，我无法使用RSA，必须使用ECDSA密钥对令牌进行签名。我正在使用ES256来签署Keycloak生成的令牌。

我创建了一个简单的asp.net核心服务器，需要对所有控制器进行身份验证。这是startup.cs文件的一个例子：

public class Startup
{
   public Startup(IConfiguration configuration)
   {
      Configuration = configuration;
   }

   public IConfiguration Configuration { get; }

   // This method gets called by the runtime. Use this method to add services to the container.
   public void ConfigureServices(IServiceCollection services)
   {
      IdentityModelEventSource.ShowPII = true;
      services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_1);

      services.AddAuthentication(options => {
         options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
         options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
      })
      .AddJwtBearer(options => {
         options.RequireHttpsMetadata = false;
         options.Authority = "[keycloak address]";
         options.Audience = "hello";
      });

      services.AddSingleton<IAuthorizationHandler, DebugAuthorizationHandler>();
   }

   // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
   public void Configure(IApplicationBuilder app, IHostingEnvironment env)
   {
      if (env.IsDevelopment())
      {
         app.UseDeveloperExceptionPage();
      }

      app.UseAuthentication();
      app.UseMvc();
   }
}

我还有一个客户端使用Keycloak执行身份验证，接收访问令牌，然后使用访问令牌调用asp.net核心服务器。

服务器中的调用失败，并显示以下错误代码：

info: Microsoft.AspNetCore.Authentication.JwtBearer.JwtBearerHandler[1] Failed to validate the token.

Microsoft.IdentityModel.Tokens.SecurityTokenSignatureKeyNotFoundException: IDX10501: Signature validation failed.

使用RS256对令牌进行签名时，相同的代码成功。

有没有人遇到过类似的问题？

Answer 1

在深入研究问题后，看起来Keycloak没有以标准方式返回JWT签名。

他们目前有一个公开的问题。

欲了解更多信息，请查看here