如何通过OIDC配置URL直接获取JwtAuthenticator验证JWT签名？

问题背景 #

我正在开发一个无头Clojure应用，需要验证REST API调用携带的签名JWT令牌（直接客户端模式），令牌由一个类Facebook OIDC的私有认证服务发放。尝试用Pac4j 6.0.0-RC7读取OIDC配置，利用其中的jwks_uri获取org.pac4j.jwt.credentials.authenticator.JwtAuthenticator实例。目前已知两种可行方式：

• 将配置URL转为org.pac4j.oidc.config.OidcConfiguration实例，但无法从中获取JwtAuthenticator或jwks_uri的值；
• 手动提取OIDC配置中的jwks_uri字段，直接实例化JwtAuthenticator。

想知道是否有遗漏的方法，能直接从OIDC配置URL获取JwtAuthenticator实例？

解决方案 #

Pac4j没有提供直接从OIDC配置URL一键生成JwtAuthenticator的方法，但可以复用OidcConfiguration的内置逻辑来间接实现，无需手动解析OIDC配置：

利用OidcConfiguration加载JWKS构建JwtAuthenticator #

OidcConfiguration初始化时会自动请求并加载OIDC配置中的JWKS，你可以通过它的getJwkSet()方法获取已加载的JWK集合，再手动构建JwtAuthenticator：

// 示例Java代码，可转译为Clojure
OidcConfiguration config = new OidcConfiguration();
config.setDiscoveryURI("你的OIDC配置URL");
// 触发配置初始化，自动加载JWKS
config.init();

JwtAuthenticator jwtAuthenticator = new JwtAuthenticator();
jwtAuthenticator.setJwkSet(config.getJwkSet());
// 按需添加验证规则，比如校验issuer、audience
jwtAuthenticator.addSignatureValidator(new IssuerValidator(config.getIssuer()));
jwtAuthenticator.addSignatureValidator(new AudienceValidator(config.getClientId()));

这种方式既避免了手动请求OIDC配置和解析jwks_uri的工作，又复用了Pac4j内置的配置加载逻辑，是最接近"直接获取"的实现方式。

关于无直接方法的原因 #

Pac4j的设计中，OidcConfiguration主要为完整的OIDC客户端流程服务，而JwtAuthenticator是通用的JWT验证组件，两者职责分离。因此没有提供直接从OIDC配置URL生成JwtAuthenticator的快捷方法，上述方式是现有框架下最简洁的实现。

内容的提问来源于stack exchange，提问作者galaux