oauth-2.0 - 是否可以在另一个 API 服务器上验证 Netlify 身份用户？

Question

Netlify Identity 是一种让用户注册到您的站点的简单方法，但是是否可以在另一个站点上验证 JWT 令牌的签名，例如作为站点后端的 API 服务器？换句话说，是否可以获取公钥或设置秘密来验证令牌签名？

标签： oauth-2.0jwtnetlify

Answer 1

Netlify Identity 使用 HS256，因此只有一个共享密钥，而不是具有公钥/私钥的 RS256。签名密钥还不能通过我们的 API 获得（尽管我们应该添加它！）。但是您可以联系支持人员以获取它。您可以在自己的 API 中使用它来在您自己的后端验证我们的 JWT。

编辑：虽然是这种情况，但出于安全原因，我们目前不建议共享签名密钥。更好的选择是使用签名代理重定向向您自己的后端服务器发出安全请求。使用此功能，我们将使用仅在 5 分钟内有效的短期令牌签署对您后端的请求。它更安全，不会共享您的身份签名秘密。您可以在https://www.netlify.com/docs/redirects/#signed-proxy-redirects阅读有关签名代理重定向的更多信息