如何解码Skype for Business访问令牌？验证是否为CWT及解码方案

Hey there, let's break this down clearly for you:

1. 这是不是CBOR Web Token（CWT）？ #

没错，就是CWT。你提供的示例里access_token以cwt=开头——这是明确标识该令牌为**CBOR Web Token（CWT）**的标记，和常见的JWT（一般以eyJ开头的Base64串）区分开来。

2. 如何解码该令牌（Python示例） #

解码CWT需要处理CBOR编码的数据，下面是Python的分步实现：

步骤1：安装依赖库 #

首先安装cbor2（Python生态中可靠的CBOR解析库）：

pip install cbor2

步骤2：编写解码代码 #

令牌带有cwt=前缀，我们先剥离这个前缀，再处理URL安全的Base64解码，最后解析CBOR数据：

import cbor2
import base64

def decode_skype_cwt(access_token):
    # 剥离"cwt="前缀，获取原始编码的负载
    cwt_encoded = access_token.split('=')[1]
    
    # 补全URL-safe Base64的填充位并解码
    # URL-safe Base64用'-'替代'+'，用'_'替代'/'，需要处理填充
    padded_encoded = cwt_encoded.ljust(len(cwt_encoded) + (4 - len(cwt_encoded) % 4) % 4, '=')
    decoded_bytes = base64.urlsafe_b64decode(padded_encoded)
    
    # 将CBOR字节数据解析为Python字典
    return cbor2.loads(decoded_bytes)

# 用示例令牌测试
sample_token = "cwt=2YotnFZFEjr1zCsicMWpAA..."
decoded_token = decode_skype_cwt(sample_token)
print("解码后的CWT数据：", decoded_token)

关于签名型CWT的说明 #

如果你的CWT是带签名的（部分实现会用.将令牌拆分为头部/负载/签名三部分），你需要先按.拆分字符串，分别解码每一部分，再用Skype for Business认证服务提供的公钥验证签名。

3. 其他语言的解码思路 #

• JavaScript/TypeScript：使用cbor npm包。剥离cwt=前缀，解码URL-safe Base64，再用cbor.decodeFirstSync()解析。
• Java：使用Jackson的CBOR数据格式库（jackson-dataformat-cbor）或Apache Commons Codec处理Base64。剥离前缀后解码Base64，再解析CBOR字节数据。

内容的提问来源于stack exchange，提问作者Jason