JEE pac4j令牌验证抛出BadJWTException：期望签名ID令牌

问题原因 #

com.nimbusds.jwt.proc.BadJWTException: Signed ID token expected 异常的核心原因是：pac4j的TokenValidator默认强制要求ID Token必须是经过签名的（禁止使用none算法的无签名令牌），但你当前从Azure获取的ID Token头部是PlainHeader、算法为none，不符合验证规则，因此触发错误。

从Azure获取签名ID Token的配置步骤 #

1. 修正Azure AD应用注册配置 #

• 登录Azure门户，找到你的目标应用注册
• 进入认证页面，点击令牌配置：
  • 确认已添加ID Token的签名算法（推荐使用RS256，这是Azure默认支持的非对称签名算法），确保未开启允许无签名令牌的选项
• 进入概述页面，核对应用程序(客户端) ID和目录(租户) ID，确保后续pac4j配置与这些值一致

2. 调整pac4j的AzureAD客户端配置 #

在你的代码中，确保AzureADClient的配置符合以下要求：

• 指定签名算法为RS256：

  AzureADClient azureADClient = new AzureADClient(clientId, clientSecret, tenantId);
  azureADClient.setSignatureAlgorithm(SignatureAlgorithm.RS256);
  

• 配置Azure AD的JWKS公钥端点（pac4j会自动从这里获取公钥验证签名）：

  String jwksEndpoint = String.format("https://login.microsoftonline.com/%s/discovery/v2.0/keys", tenantId);
  azureADClient.setJwksUri(jwksEndpoint);
  

• 不要手动开启允许无签名令牌的选项（pac4j默认禁用，开启会带来安全风险）

3. 规范授权请求参数 #

发起授权请求时，确保包含以下必要参数：

• response_type必须包含id_token
• scope必须包含openid（这是获取ID Token的核心scope）
• 避免添加可能触发Azure返回无签名令牌的调试类参数

4. 验证令牌有效性 #

获取到ID Token后，可通过JWT解析工具（如nimbusds的JWT Parser）先检查头部，确认alg字段为RS256而非none，确保令牌符合签名要求

内容的提问来源于stack exchange，提问作者felix.r