前提條件

已創建函數并完成HTTP觸發器的創建。具體操作，請參見創建函數和步驟一：創建觸發器。

使用限制

• 可以使用任何方式來生成和分發JWT，函數計算負責通過觸發器配置的Public JWKS來認證JWT。

• 支持不含kid的JWK。

• 支持從header、Query參數（GET）、表單參數（POST）和cookie中讀取Token。

• 支持將claims作為header、Query參數（GET）、表單參數（POST）和cookie轉發給函數。

• 函數計算支持為一個HTTP觸發器配置一組JWT（JWKS），在JWKS中尋找與Token中的kid相同的JWK公鑰，并使用這個公鑰對Token進行簽名校驗。一個觸發器的JWKS最多只允許一個JWK的kid不存在或者為空字符串。

  目前函數計算的JWT支持如下算法。

  簽名算法	alg取值
  RSASSA-PKCS1-V1_5	RS256，RS384，RS512
  RSASSA-PSS	PS256，PS384，PS512
  Elliptic Curve (ECDSA)	ES256，ES384，ES512
  HMAC	HS256，HS384，HS512
  EdDSA	EdDSA

  重要

  • HMAC簽名算法為對稱加密，安全性相對較低，建議使用安全性更高的非對稱加密算法。

  • 使用非對稱加密算法時，出于安全考慮，您的JWT中只需要包含公鑰信息即可，不建議包含私鑰信息。

  • 建議使用HTTPS來對請求中的Token等敏感信息進行保護，可以有效避免Token泄漏。

操作步驟

步驟一：配置JWT認證

步驟二：操作驗證

在調測工具（本文以Postman工具為例）中，根據HTTP觸發器的JWT配置，填寫訪問地址、Token等，驗證是否可以正常訪問HTTP服務。

1. 使用步驟一：配置JWT認證中生成的X.509 PEM格式的Private Key作為私鑰來頒發JWT Token。以下步驟以Python為例演示通過本地腳本生成Token的過程。

   1. 安裝 PyJWT模塊。

      pip install PyJWT

   2. 在本地運行如下Python示例腳本生成JWT Token。

      import jwt
      import time
      
      private_key = """
      -----BEGIN PRIVATE KEY-----
      <使用步驟一生成的 X.509 PEM格式的private key>
      -----END PRIVATE KEY-----
      """
      
      headers = {
          "alg": "RS256",
          "typ": "JWT"
      }
      
      payload = {
          "sub": "1234567890",
          "name": "John Snow",
          "iat": int(time.time()),   # token頒發時間
          "exp": int(time.time()) + 60 * 60,   # 設定token有效時間為1小時
      }
      
      
      encoded = jwt.encode(payload=payload, key=private_key.encode(), headers=headers)
      print("Generated token: %s" % encoded)
      

2. 使用Postman工具驗證HTTP服務是否可正常訪問。

   1. 在目標函數的配置 > 觸發器頁面獲取HTTP觸發器的公網訪問地址，將地址填入Postman的URL位置。

   2. 在Postman的Headers配置Token參數信息，然后單擊Send發送請求。本文填寫的Token示例如下。

      名稱	值	說明
      Key	Authentication	在JWT Token 配置中設置的參數名稱。
      Value	Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLg	在JWT Token 配置中設置的去除前綴信息拼接JWT Token。示例值假設去除前綴已設置為Bearer 。

      重要

      請注意，請求header中JWT參數的前綴和空格需要與JWT Token 配置中設置的去除前綴內容一致，否則會導致觸發器解析Token時出錯并返回invalid or expired jwt錯誤。

常見問題