JWKS

JWKS 是一个 JSON 文档，其中包含一个键数组，每个条目都是一个 JWK 格式的公钥，包含标识符（kid）、密钥类型和算法以及密钥材料。身份提供商会将 JWKS 发布到众所周知的 URL，以便每个接收其令牌的 API 都可以在不共享任何秘密信息的情况下验证签名。

工作原理

已签名的 JWT 会在其头部信息的 kid 字段中指定用于签名的密钥。验证器会获取颁发者的 JWKS（通常可通过 OpenID 发现文档找到），选择与该 kid 对应的密钥，并检查签名。密钥轮换机制是在切换密钥之前将新密钥与旧密钥一起发布，因此验证器应缓存密钥集，但在遇到未知 kid 时需要重新获取密钥。

误解

密钥集可以一次性获取并集成到配置中。提供商会轮换密钥；如果验证器使用的密钥是硬编码的，那么在密钥轮换日当天，所有有效的令牌都会被拒绝。相反的错误——每次请求都获取密钥——会导致每次调用都依赖于身份提供商。

点击这里试试

GET /identity/v1/jwks返回 Modern Identity API 的演示密钥集，其发现文档位于 GET /identity/v1/.well-known/openid-configuration ，就像真正的提供商一样。

相关内容

• What a JWT is
• OpenID Connect

资料来源

• OAuth 2.0 — RFC 6749
• JWT — RFC 7519
• JWT best practices — RFC 8725

其他术语

• JWT（JSON Web Token） — 以签名 JWS 或加密 JWE 形式表示声明的紧凑格式。
• OpenID Connect — 在 OAuth 2.0 之上的身份层，通过签名 ID 令牌告诉客户端用户是谁。
• Bearer 令牌 — 一种凭证，持有者即可获得访问权限——谁持有它就可以使用它。
• 刷新令牌 — 仅用于获取新的短期访问令牌的长期凭证，无需用户再次登录。
• OAuth 2.0 — 该标准框架允许应用程序获取有限的访问令牌，而不是处理用户的密码。
• PKCE — 代码交换证明密钥——一次性密钥，可防止被盗的 OAuth 授权码被其他人兑换。

阅读英文版

所有术语 · 测试技巧 · 全部 39 个模拟 REST API

最后更新时间 2026年10月16日