Zendesk服务器端应用跨子域JWT报错及安装ID获取咨询

一、跨子域JWT解析错误的解决思路 #

你的问题大概率是JWT生成/验证时硬编码了自己的子域信息，导致其他子域无法通过校验。针对Zendesk服务器端应用的JWT认证，核心要注意以下几点：

• 动态设置JWT的受众（aud）：每个Zendesk子域的受众值是该账户的完整URL（比如https://xxx.zendesk.com），不能固定成你自己的子域。生成JWT时必须根据当前请求对应的子域动态填入aud字段。
• 确保签名密钥一致：所有安装实例必须使用同一个应用级的签名密钥（你在Zendesk开发者控制台配置的那个），不能为不同子域用不同密钥。
• 校验iss字段正确性：iss值必须是你的应用的客户端ID，这个是固定的，但要确认没写错。
• 检查JWT过期时间：如果你的JWT过期时间设置过短，跨子域请求可能因为网络延迟导致过期，适当调整有效期（比如5-10分钟）。

另外，验证JWT时要严格按照Zendesk的规则：必须验证签名、aud、iss和过期时间，不能跳过任何一项。

二、获取每个安装实例唯一的应用安装ID #

应用安装ID（Zendesk称为Instance ID）是每个安装实例的唯一标识，获取方式有两种：

1. 从Zendesk前端传递到你的服务器
   在你的Zendesk应用前端代码中，用Zendesk App Framework（ZAF）的API获取实例ID，然后在请求你的服务器时带上这个值：

   client.get('instanceId').then(function(data) {
     // 将data.instanceId作为参数或请求头传递给你的服务器
     fetch('https://your-server.com/auth', {
       headers: {
         'X-Zendesk-Instance-ID': data.instanceId
       }
     });
   });
   

2. 通过安装Webhook获取
   当用户安装你的应用时，Zendesk会向你预先配置的Webhook URL发送一个安装事件，请求体中包含instance_id字段。你可以把这个ID和对应的子域、用户账户信息关联存储，后续处理请求时直接调用。

不管用哪种方式，这个instanceId都可以作为JWT的一个自定义字段（比如sub或自定义instance_id字段）加入到JWT中，验证时一并校验，确保请求来自合法的安装实例。

内容的提问来源于stack exchange，提问作者s0ld13r