如何为Auth0注册后动作的请求添加验证机制保护后端接口？

问题背景 #

原Auth0提供的「在远程系统存储Auth0用户ID」示例中，请求直接发送到未受保护的后端端点，存在被任意主体伪造请求创建账号的风险。需要给请求添加验证信息，让后端能校验请求是否来自合法的Auth0 Action。

原示例代码：

const axios = require("axios");

/**
 * @param {Event} event - Details about registration event.
 */
exports.onExecutePostUserRegistration = async (event) => {
  await axios.post("https://my-api.exampleco.com/users", { params: { email: event.user.email }});
};

可用的验证方案 #

1. API密钥验证 #

这是最直接的方案，Auth0 Action和后端约定一个共享的API密钥，请求时放在请求头里，后端校验密钥是否匹配。

修改后的Action代码：

const axios = require("axios");

/**
 * @param {Event} event - Details about registration event.
 */
exports.onExecutePostUserRegistration = async (event) => {
  // 从Auth0 Action的**secrets**里读取预配置的API密钥（*避免硬编码*）
  const apiKey = event.secrets.BACKEND_API_KEY;
  
  await axios.post(
    "https://my-api.exampleco.com/users",
    { email: event.user.email, auth0UserId: event.user.user_id }, // 建议同时传Auth0用户ID，方便后端关联
    {
      headers: {
        "X-API-Key": apiKey // 自定义请求头携带密钥
      }
    }
  );
};

后端校验逻辑：

• 读取请求头X-API-Key的值
• 和后端存储的合法密钥对比，不匹配则直接拒绝请求

2. JWT令牌验证 #

使用Auth0的管理API令牌，或者自行生成签名JWT，后端验证JWT的签名、有效期和权限。

方案A：使用Auth0管理API令牌

Auth0 Action可以直接通过event.managementApiAccessToken获取管理API的令牌，后端可以配置Auth0作为身份提供者，验证令牌的有效性：

修改后的Action代码：

const axios = require("axios");

/**
 * @param {Event} event - Details about registration event.
 */
exports.onExecutePostUserRegistration = async (event) => {
  await axios.post(
    "https://my-api.exampleco.com/users",
    { email: event.user.email, auth0UserId: event.user.user_id },
    {
      headers: {
        Authorization: `Bearer ${event.managementApiAccessToken}` // 携带Auth0管理API令牌
      }
    }
  );
};

后端校验逻辑：

• 从Authorization头提取Bearer令牌
• 调用Auth0的令牌验证端点，或用JWKS验证签名，确保令牌合法且具备对应权限

方案B：自定义签名JWT

如果不想依赖Auth0管理API，可以在Auth0 Action里用预存的密钥生成JWT，后端验证签名：

修改后的Action代码：

const axios = require("axios");
const jwt = require("jsonwebtoken"); // 需要在Auth0 Action中添加该依赖

/**
 * @param {Event} event - Details about registration event.
 */
exports.onExecutePostUserRegistration = async (event) => {
  const jwtSecret = event.secrets.JWT_SIGNING_SECRET;
  // 生成JWT，包含请求相关信息和有效期
  const token = jwt.sign(
    {
      sub: event.user.user_id,
      email: event.user.email,
      iss: "auth0-action", // 自定义签发者标识
      exp: Math.floor(Date.now() / 1000) + 60 * 5 // 设置5分钟有效期
    },
    jwtSecret,
    { algorithm: "HS256" }
  );
  
  await axios.post(
    "https://my-api.exampleco.com/users",
    { email: event.user.email, auth0UserId: event.user.user_id },
    {
      headers: {
        Authorization: `Bearer ${token}`
      }
    }
  );
};

后端校验逻辑：

• 提取Bearer令牌
• 用相同的密钥和算法验证签名，同时检查有效期、签发者等信息

3. 客户端证书验证（双向TLS） #

适合高安全要求的场景，给Auth0 Action配置客户端证书，请求时携带证书，后端校验证书的合法性。

修改后的Action代码：

const axios = require("axios");
const https = require("https");

/**
 * @param {Event} event - Details about registration event.
 */
exports.onExecutePostUserRegistration = async (event) => {
  // 从secrets读取证书和密钥内容（Auth0 Action不支持直接读取文件，需将内容存在secrets中）
  const cert = event.secrets.CLIENT_CERT;
  const key = event.secrets.CLIENT_KEY;
  
  await axios.post(
    "https://my-api.exampleco.com/users",
    { email: event.user.email, auth0UserId: event.user.user_id },
    {
      httpsAgent: new https.Agent({
        cert: cert,
        key: key
      })
    }
  );
};

后端校验逻辑：

• 配置服务器要求客户端提供证书
• 校验证书是否由信任的CA签发，且属于合法的客户端主体

4. HMAC请求签名验证 #

对请求内容（比如请求体、时间戳）生成HMAC签名，后端用相同的密钥和算法验证签名，防止请求被篡改或伪造。

修改后的Action代码：

const axios = require("axios");
const crypto = require("crypto");

/**
 * @param {Event} event - Details about registration event.
 */
exports.onExecutePostUserRegistration = async (event) => {
  const hmacSecret = event.secrets.HMAC_SECRET;
  const requestBody = { email: event.user.email, auth0UserId: event.user.user_id };
  const timestamp = Math.floor(Date.now() / 1000).toString();
  
  // 生成签名：将时间戳和请求体字符串拼接后做HMAC哈希
  const signature = crypto
    .createHmac("sha256", hmacSecret)
    .update(timestamp + JSON.stringify(requestBody))
    .digest("hex");
  
  await axios.post(
    "https://my-api.exampleco.com/users",
    requestBody,
    {
      headers: {
        "X-Timestamp": timestamp, // 防止重放攻击
        "X-Signature": signature
      }
    }
  );
};

后端校验逻辑：

• 读取X-Timestamp和X-Signature
• 检查时间戳是否在有效窗口内（比如5分钟），防止重放攻击
• 用相同的密钥和算法重新计算签名，和请求头中的签名对比，不一致则拒绝请求

内容的提问来源于stack exchange，提问作者Ashbury