该 库 将 使用 RSA 密钥 验证 令牌 。 它 会 在 应用 启动 时 自动 加载 公钥 ， 例如 https://login.microsoftonline.com/common/discovery/v2.0/keys 。 这些 公钥 用于 验证 令牌 的 签名 。 它 不会 接受 没有 签名 的 令牌 ， 除非 你 覆盖 这些 设置 。 （ 至少 它 真 的 不 应该 ）

我们 必须 手动 检查 算法 是否 为 " 无 " 。 以下 是 我们 从 安全 团队 获得 通过 的 实现 ：

var jwtData = new DataMap<string>();
        if (Request?.Headers != null)
        {
            _ = AuthenticationHeaderValue.TryParse(Request.Headers[HeaderNames.Authorization], out AuthenticationHeaderValue authValue);
            if (authValue?.Scheme == "Bearer")
            {
                // Decode JWT and extract the claims.
                string token = authValue.Parameter;

                var jwtHandler = new JwtSecurityTokenHandler();
                if (jwtHandler.CanReadToken(token))
                {
                    JwtSecurityToken validJwt = GetValidJWT(jwtHandler, token);
                    var claims = validJwt.Claims;
                    foreach (var claim in claims)
                    {
                        jwtData[claim.Type] = claim.Value;
                    }
                    _jwtData = jwtData;
                }
                else
                {
                    jwtData[authValue.Scheme] = token ?? "";
                }
            }
        }

    protected JwtSecurityToken GetValidJWT(JwtSecurityTokenHandler jwtSecurityTokenHandler, string token)
    {
        JwtSecurityToken validJwt = jwtSecurityTokenHandler.ReadJwtToken(token);
        //Validate algorithm
        if (validJwt == null)
        {
            throw new ArgumentException("Invalid JWT");
        }

        if (!validJwt.Header.Alg.Equals("RS256"))
        {
            throw new ArgumentException("Algorithm must be RS256");
        }
        return validJwt;

    }

中 的 每 一 个