Являются ли Cognito refre sh токены «действительными» JSON веб-токенами?

Question

Я пытался проверить «refre sh токен», возвращенный провайдером идентификации Amazon Cognito через его клиента boto3 python. Я использовал валидатор на https://jwt.io.

Когда я вставляю токен refre sh в поле «кодированный», он возвращает заголовок:

{
  "cty": "JWT",
  "enc": "A256GCM",
  "alg": "RSA-OAEP"
}

, но инструмент также говорит «недопустимая подпись» внизу.

Мне интересно, это ожидаемое поведение? Не являются ли AWS Cognito refre sh токены недействительными JWT?

Answer 1

Да, с этим заголовком кажется, что токен refre sh является допустимым JWT.

https://jwt.io не может его проанализировать, поскольку он ограничен подписанным JWT (JWS - RFC7515 ), и этот код является зашифрованным (JWE - RFC7516 ).

В отличие от JWS, JWE состоит из 5 частей, разделенных точек. Его заголовок может быть проанализирован, но полезная нагрузка зашифрована и не может быть прочитана без закрытого или общего ключа.

Согласно заголовку cty, этот токен содержит другой JWT, который, безусловно, является JWS. Этот вложенный токен допускает оба из двух миров: подписанные и зашифрованные заявки.