Azure AD JWT令牌验证选项

Question

在Microsoft Azure AD文档中，JWT令牌验证流程被描述为先验证令牌签名，然后验证其声明。

因此，在不向Azure AD服务器询问令牌是否仍然有效的情况下，验证完全在客户端进行。

是否有"扩展"验证令牌的选项，例如通过查询Azure服务器，以便授予对资源访问权限的应用程序可以确信该人仍然获得授权并具有对该资源的访问权限？

- Richard Topchii

Answer 1

不，令牌的访问权限是终身的。

令牌有一个可以从“exp”声明中读取的到期日期。您可以控制令牌的过期时间，这样在过期后需要用户重新进行身份验证。

如果您想进行扩展验证，您需要实现该逻辑。 ID Tokens Access Tokens 在Azure Active Directory中配置可配置的令牌生命周期

- John Hanley

---

感谢您的回答。在以下情况下：1.用户通过AAD进行身份验证，2.用户从AAD中删除，3.用户尝试使用在步骤1中接收到的令牌访问受保护的资源由于令牌尚未过期（即使已被撤销），受保护的资源将提供信息吗？ - Richard Topchii

在Azure AAD中，访问和身份令牌不会被吊销，只会过期。刷新令牌可以被吊销。是的，服务将考虑令牌的有效性。您需要在授权寿命和重新认证之间进行权衡。对令牌进行广泛验证是昂贵的。这就是它们被签名并具有生命周期的原因之一 - 为了加快处理速度，因为某些API在每次调用时都使用令牌，这会大大降低网络响应时间。另一个因素是吊销令牌是在全球网络/服务中同步的缓慢操作。 - John Hanley

如果你愿意，当然可以查询Graph API以获取用户存在和登录启用状态，但这会带来显著的吞吐量成本。 - juunas

感谢您的评论。如果我想在执行一些关键操作之前验证用户的访问权限怎么办？在这种情况下，我应该调用哪个Graph API？至于单点注销，应用程序服务器是否可以获得用户已被删除的信息？ - Richard Topchii

@RichardTopchiy - 创建一个新的问题，因为这比评论框中能容纳的更为复杂。请考虑授予活动目录访问权限给不应该拥有它的应用程序所带来的安全隐患。在某些情况下，你的解决方案可能比问题本身更加昂贵/冒险。只需使用较短的令牌生命周期即可。 - John Hanley