OpenID Connect Discovery issuer里面有一個jwks_uri贿讹，里面包含了驗(yàn)證id_token的公鑰，這些公鑰都是JWK格式的液走。一般情況下医吊，證書使用pem格式保存钱慢，可以將pem轉(zhuǎn)換成jwk格式。jwt.io驗(yàn)證id token居然需要pem格式的公鑰卿堂，不支持jwk這樣跟jwt有親戚關(guān)系的格式真的是匪夷所思束莫。
我比較好奇如何使用這個公鑰校驗(yàn)id_token。查了一下資料草描，找到lokey這個工具览绿，可以很方便將pem和jwk格式互相轉(zhuǎn)換。
首先安裝一下lokey這個工具穗慕。
$ sudo pip install lokey
#如果遇到six的問題饿敲，重裝一下six就好。
$ sudo pip install --ignore-installed six
Collecting six
Downloading six-1.10.0-py2.py3-none-any.whl
Installing collected packages: six
Successfully installed six-1.10.0
通過Google OAuth Playground去拿到一個合法id_token逛绵。scope記得加上profile怀各，才會有id_token。
image.png
把id_token放到https://jwt.io/校驗(yàn)一下术浪。發(fā)現(xiàn)kid是b2719f31c6ba1e5fe664fbb1bf0f7c05b3d3a0a1瓢对。頂部ALGORITHM選擇RS256。因?yàn)闆]有設(shè)置公鑰胰苏，所以底部會提示無效的簽名硕蛹。
image.png
打開Google jwks_uri，可以看到有這個kid硕并。
image.png
通過lokey去獲取這個kid的信息法焰，并將其轉(zhuǎn)換成pem格式。
$ lokey fetch jwk accounts.google.com --key-id b2719f31c6ba1e5fe664fbb1bf0f7c05b3d3a0a1 | lokey to pem
-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAovtSwEWv9Q97JbB5Knfq
4iAn8gl+ONzsFoxEasbh9+l4CgeTImIXH31cOxu5tjVjAxeFifPW9w8EdEa+o8kU
SJ40Fp2qMRN9wFAHmu5pmS70Vlm4brg4Rc2jk8XMahNKoZ6AY1sIs/6e/JsiLMvE
P8btu1iOpZri5fS9MjbWC9IOW1Vpy9MB8hp7IUZ4nwWBcWmT4NIUmR1QF9+fDmWs
F0JUXfjAm1//cAJN7K3EcMOhLwWkVvrr1U0bpeRLprTUKpRNER+nq+pA0b2t5U56
rFAAws+5ydNw4coa2dS3AJrmnaCSS4BZubpRYGh8ScTBxQlZm74f1Sty8H7gUeys
FwIDAQAB
-----END PUBLIC KEY-----
#lokey也支持把pem轉(zhuǎn)換成jwk格式鲤孵，所以可以這樣轉(zhuǎn)回去壶栋。
$ lokey fetch jwk accounts.google.com --key-id b2719f31c6ba1e5fe664fbb1bf0f7c05b3d3a0a1 | lokey to pem | lokey to jwk
{"e": "AQAB", "kty": "RSA", "n": "ovtSwEWv9Q97JbB5Knfq4iAn8gl-ONzsFoxEasbh9-l4CgeTImIXH31cOxu5tjVjAxeFifPW9w8EdEa-o8kUSJ40Fp2qMRN9wFAHmu5pmS70Vlm4brg4Rc2jk8XMahNKoZ6AY1sIs_6e_JsiLMvEP8btu1iOpZri5fS9MjbWC9IOW1Vpy9MB8hp7IUZ4nwWBcWmT4NIUmR1QF9-fDmWsF0JUXfjAm1__cAJN7K3EcMOhLwWkVvrr1U0bpeRLprTUKpRNER-nq-pA0b2t5U56rFAAws-5ydNw4coa2dS3AJrmnaCSS4BZubpRYGh8ScTBxQlZm74f1Sty8H7gUeysFw"}
lokey的kid參數(shù)居然要求是一個int類型的，而通過shell傳入的kid會被當(dāng)做一個字符串普监，然后提示錯誤，所以我把代碼接受的類型改成了字符串琉兜。
#/Library/Python/2.7/site-packages/lokey/__init__.py
#@click.option('--kid', '--key-id', type=int, help="Key ID ('kid') to print.")
@click.option('--kid', '--key-id', type=str, help="Key ID ('kid') to print.")
把pem輸入到公鑰里面凯正，可以發(fā)現(xiàn)id_token驗(yàn)證通過了。
image.png
