Envie uma solicitação de POST para o terminal da API /introspectpara validar seu token. A solicitação deve fornecer o token e um cabeçalho de autorização básico que contém oidentificador de cliente e o segredo.

Solicitação de exemplo:

POST /oauth/v4/<tenantID>/introspect HTTP/1.1
Host: us-south.appid.cloud.ibm.com
Content-Type: application/x-www-form-urlencoded
Authorization: Basic jdFlUaGlZUzAwTW0Tjk15TmpFMw==
Cache-Control: no-cache

token=XXXXX.YYYYY.ZZZZZ

O servidor verifica a expiração e a assinatura do token e retorna um objeto JSON que informa se o token está ativo ouinativo.

Resposta de exemplo:

{
"active": true
}

Analisar os tokens. O JSON Web Token(JWT) é uma forma padrão de transmitir informações com segurança. Ele consiste em três partes principais: cabeçalho, carga útil e assinatura. Eles são codificados por base64URL e separados por um ponto (.). É possível usar qualquer decodificador base64URL disponível para analisar o token. Como alternativa, você pode usar qualquer uma das bibliotecas listadas para analisar o token.

Token codificado de exemplo:

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpPU0UiLCJraWQiOiJhMmszIn0
.eyJpc3MiOiJhcHBpZC1vYXV0aCIsImF1ZCI6ImFiYzEyMyIsImV4cCI6MTU2NDU2Nn0
.IycnAGUmMHzpTWbe-qaRsx0B4Zi-SVav710Fb_8CTCQvLrHX9d42WuCZ5bW
d-ikgEsf6waQxeBfhfwYxwHN87LZupApagVMZtylVAnXhG1pHu_32wbZsPvg6QjzNO
j6ys2Lfl3qfb5Qrp9u4IsZltKPEN8HdfeOcKXxpw6UqP-8

Exemplo de token decodificado:

{
"alg": "RS256",
"typ": "JOSE",
"kid": "a2k3",
"iss": "https://us-south.appid.cloud.ibm.com/oauth/v4/39a37f57-a227-4bfe-a044-93b6e6050a61",
"aud": "abc123",
"exp": 1564566
}

Faça uma chamada para o /publickeys endpoint para recuperar as suas chaves públicas As chaves públicas que são retornadas são formatadas como JSON Web Keys(JWK).

Solicitação de exemplo:

GET /oauth/v4/<tenantID>/publickeys HTTP/1.1
Host: us-south.appid.cloud.ibm.com
Cache-Control: no-cache

Armazene as chaves em seu cache do aplicativo para uso futuro. O armazenamento das chaves acelerará o processo e evitaráo atraso da rede se outra chamada for feita.

Importe os parâmetros de chave pública.

Resposta de exemplo:

{
"keys": [
   {
      "kty": "RSA",
      "use": "sig",
      "n": "AsdaE",
      "e": "SDAasw",
      "kid": "ad123dCAz"
   }
]
}

Verifique a assinatura do token. O cabeçalho do token contém o algoritmo que foi usado para assinar o token e o ID dachave ou a solicitação kid da chave pública correspondente. Como as chaves públicas não sãomudadas frequentemente, é possível armazenar em cache as chaves públicas em seu aplicativo e, ocasionalmente,atualizá-las. Se a chave armazenada em cache estiver ausente da solicitação kid, será possível validar os tokens localmente.

1. Faça com que seu aplicativo verifique se o conteúdo do cabeçalho do token recebido corresponde aos parâmetros da chavepública.
2. Verifique especificamente se os mesmos algoritmos foram usados e se seu cache de chave pública contém uma chave com o IDde chave relevante.
3. Assegure-se de que o valor do hash seja o mesmo que a assinatura do formato PEM da chave pública. Seu valor do hash podeser obtido combinando e realizando hashing do cabeçalho da carga útil do token. Como esse processo pode ser complexo paraimplementar manualmente, pode ser útil usar uma das bibliotecas listadas paravalidar a assinatura.

Valide as solicitações que estão armazenadas nos tokens. Para conferir verificações futuras, é possível usaressa lista.