신뢰하는 외부 issuer가 발급한 ID token을 검증하고 공통 principal로 변환합니다.
외부 ID token 검증은 다른 인증 시스템이 서명한 사용자 claim을 이 서비스의 신뢰 경계 안으로 들여오는 과정입니다. 네트워크 응답이나 decode 결과는 믿지 않습니다. 공개키 서명과 issuer·audience·시간 조건을 모두 검증한 뒤에야 최소한의 principal로 변환합니다.
허용할 issuer와 audience 조합을 설정으로 고정해, 다른 시스템용 토큰이 섞여 들어오지 않게 합니다.
issuer가 게시한 공개키 집합을 캐시해 두고, key id가 가리키는 키로 서명을 검증합니다.
외부 claim을 그대로 권한으로 쓰지 않고, 검증된 최소한의 식별 정보만 공통 principal로 옮깁니다.
아래 증명은 글로 된 설명이 아닙니다. 버튼을 누르면 이 서버가 지금 직접 계산합니다.
issuer로 신뢰 정의를 찾고 필수 claim이 모두 있는지 확인한 뒤, 이메일·검증 상태·표시 이름을 공통 계약의 필드로 옮깁니다.
표준 문서에 실린 테스트 벡터를 그대로 넣어 같은 값이 나오는지 확인합니다.
서명이 유효해도 신뢰 목록에 없는 발급자의 토큰은 거부합니다. 청중이나 nonce가 맞지 않으면 다른 서비스로 전달된 토큰이나 재전송 공격으로 보고 막습니다.
막아야 할 입력을 실제로 넣고 거부되는지 확인합니다.
규격 원문을 먼저 실었습니다. 사례는 이 분야에서 실제로 보안이 뚫린 일을 다룬 자료입니다.
ID Token 검증 단계를 순서대로 나열합니다.
공개키를 배포하는 형식을 정의합니다.
decode한 결과와 검증을 통과한 결과를 구분해야 하는 이유를 다룹니다.
다음 단계
허용 issuer의 실제 JWKS와 claim mapper를 등록하고, 장애와 키 교체 상황을 검증합니다.