使用okta-jwt-verifier验证多前端应用Access Token的可行性咨询

完全支持传入Client ID数组来验证多个前端应用生成的Access Token，Okta的@okta/jwt-verifier库支持在初始化时传入数组形式的clientId参数，验证时会自动匹配Access Token中的cid声明是否属于数组中的任意一个Client ID。

修改后的验证代码 #

const OktaJwtVerifier = require("@okta/jwt-verifier");
const oktaJwtVerifier = new OktaJwtVerifier({
  issuer: 'https://my-okta-domain/oauth2/default',
  clientId: ['你的第一个ClientID', '你的第二个ClientID'], // 替换为实际的两个Client ID
});

module.exports = function oktaAuthorization(req, res, next) {
  const authHeader = req.headers.authorization || "";
  const match = authHeader.match(/Bearer (.+)/);
  
  // 先检查请求头是否包含有效Bearer Token
  if (!match) {
    return res.status(401).send("Unauthorized");
  }
  
  const accessToken = match[1];
  
  return oktaJwtVerifier
    .verifyAccessToken(accessToken, "api://default")
    .then((jwt) => {
      req.app.locals.loggedInUser = jwt.claims.sub;
      next();
    })
    .catch((err) => {
      res.status(401).send("Unauthorized");
    });
};

关键说明 #

• 传入的所有Client ID必须属于同一个Okta issuer（即你配置的https://my-okta-domain/oauth2/default）下的应用，确保issuer配置和前端应用一致
• 验证verifyAccessToken时必须指定正确的audience（这里是api://default），和后端API的audience配置匹配
• 代码优化了原有的错误处理逻辑，避免重复发送响应的问题

内容的提问来源于stack exchange，提问作者goch1006