JwtAuthProviderReader多受众匹配规则疑问及需求咨询

首先来说说为什么默认要求完全匹配：这种设计是出于安全严谨性的考量。JWT里的aud字段核心作用就是限定令牌的使用范围，确保这个令牌只能被预先指定的服务接收和处理。如果默认放宽为部分匹配，很可能会出现令牌被非预期的服务误用的情况——比如一个原本只授权给支付微服务的令牌，被其他无关服务接受，这无疑会扩大系统的攻击面，违背了JWT受众机制的设计初衷。

回到你的场景：你的JWT的aud是多值数组，希望服务端只验证自身配置的受众是否在这个列表里。这种情况你需要自定义受众验证逻辑，不能依赖JwtAuthProviderReader的默认行为。下面给你一个具体的实现思路（以常见的ServiceStack框架为例）：

• 继承JwtAuthProviderReader类，重写其ValidateAudience方法
• 在自定义方法里处理两种aud格式：如果是单个字符串就做精确匹配；如果是数组，就检查配置的受众是否存在于数组中
• 记得保持大小写敏感，这是OIDC和JWT规范明确要求的

举个代码示例：

public class MultiAudienceJwtReader : JwtAuthProviderReader
{
    protected override bool ValidateAudience(string[] jwtAudiences, string[] allowedAudiences)
    {
        // 遍历服务端允许的受众，检查是否有任一值存在于JWT的受众列表中
        foreach (var allowedAudience in allowedAudiences)
        {
            if (jwtAudiences.Contains(allowedAudience, StringComparer.Ordinal))
            {
                return true;
            }
        }
        return false;
    }
}

最后提醒下：自定义验证逻辑时，一定要严格遵循JWT规范——aud多值必须是JSON数组类型，匹配时保持大小写敏感，并且只接受你明确信任的受众，避免引入不必要的安全风险。

内容的提问来源于stack exchange，提问作者Trent Kammerer