Microsoft.IdentityModel (JsonWebTokenHandler)

Факты и проверки, на которых они основаны

Ничего из приведённого ниже не скопировано из документации. 20 октября 2026 г. проверка content/libraries/verify/microsoft-identitymodel/run.sh запустила Microsoft.IdentityModel (JsonWebTokenHandler) 8.23.0 в образе контейнера mcr.microsoft.com/dotnet/sdk:10.0.402-noble; содержимое страницы должно совпадать с выводом проверки, а у каждого факта приведены соответствующие строки вывода.

• Алгоритмы JWS

  HS256HS384HS512RS256RS384RS512PS256PS384PS512ES256ES384ES512

  Подпись и проверка работают для HS, RS, PS и ES на 256/384/512; типа ключа для EdDSA в пакете нет.

  Что записала проверка

  fact jws-algorithms = HS256, HS384, HS512, RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384, ES512
  evidence jws-algorithms: EdDSA signing with an ECDsaSecurityKey or other built-in key: no EdDSA security key type

• Кодировка подписи ES256

  raw

  Подписи ES256 — 64 байта в формате raw r‖s.

  Что записала проверка

  fact jws-ecdsa-encoding = raw

• Подпись в DER внутри JWS

  rejected

  Подпись ES256 в кодировке DER не проходит проверку с ошибкой IDX10517: Signature validation failed.

  Что записала проверка

  fact jws-der-signature = rejected
  evidence jws-der-signature: SecurityTokenSignatureKeyNotFoundException: IDX10517: Signature validation failed. The token's kid is missing. Keys tried:

• Список разрешённых алгоритмов

  from-key

  Если ValidAlgorithms равно null, всё решает ключ: проверка токена RS256 ключом EC завершилась ошибкой IDX10517.

  Что записала проверка

  fact jwt-algorithm-allowlist = from-key
  evidence jwt-algorithm-allowlist: ValidAlgorithms null, RS256 token against the EC key: SecurityTokenSignatureKeyNotFoundException: IDX10517: Signature validation failed. The token's kid is missing. Keys tried:

• Неподписанные токены (alg none)

  opt-in

  По умолчанию неподписанные токены отклоняются с ошибкой IDX10504: Unable to validate signature, token does not have a signature, а с RequireSignedTokens = false проходят проверку.

  Что записала проверка

  fact jwt-alg-none = opt-in
  evidence jwt-alg-none: default parameters: SecurityTokenInvalidSignatureException: IDX10504: Unable to validate signature, token does not have a signature:
  evidence jwt-alg-none: RequireSignedTokens = false: valid

• Открытый ключ в роли секрета HMAC

  rejected

  Токен HS256, подписанный текстом PEM в качестве ключа, не прошёл проверку ключом EC: ошибка IDX10517.

  Что записала проверка

  fact jwt-hmac-public-key = rejected
  evidence jwt-hmac-public-key: HS256 token keyed with the PEM text, EC key, ValidAlgorithms null: SecurityTokenSignatureKeyNotFoundException: IDX10517: Signature validation failed. The token's kid is missing. Keys tried:

• Сверка кривой с alg

  not-enforced

  CreateToken подписал токен ES256 ключом P-384, и проверка с этим ключом и ValidAlgorithms, равным ES256, прошла успешно.

  Что записала проверка

  fact jwt-ecdsa-curve-check = not-enforced
  evidence jwt-ecdsa-curve-check: ES256 with a P-384 key: signed; validation: valid

• Допустимое расхождение часов по умолчанию

  300s

  TokenValidationParameters.DefaultClockSkew равен 5 минутам: токены, срок действия которых истёк не более чем примерно 300 секунд назад, всё ещё проходили проверку.

  Что записала проверка

  fact jwt-clock-skew = 300s
  evidence jwt-clock-skew: TokenValidationParameters.DefaultClockSkew = 00:05:00

• Обязательное утверждение о сроке действия

  yes

  Токен без exp отклоняется с ошибкой SecurityTokenNoExpirationException: IDX10225.

  Что записала проверка

  fact jwt-exp-required = yes
  evidence jwt-exp-required: CreateToken without Expires adds exp anyway: True
  evidence jwt-exp-required: hand-built HS256 token without exp: SecurityTokenNoExpirationException: IDX10225: Lifetime validation failed. The token is missing an Expiration Time. Tokentype:

• Подробности ошибок скрыты по умолчанию

  yes

  В ошибках проверки содержимое токена заменяется на [PII of type ... is hidden]; после установки IdentityModelEventSource.ShowPII = true эта заглушка исчезла.

  Что записала проверка

  fact error-detail-hidden-by-default = yes
  evidence error-detail-hidden-by-default: PII placeholder in the default message: True; after IdentityModelEventSource.ShowPII = true: False

Использование

using System.Security.Cryptography;
using Microsoft.IdentityModel.JsonWebTokens;
using Microsoft.IdentityModel.Tokens;

var key = new ECDsaSecurityKey(ECDsa.Create(ECCurve.NamedCurves.nistP256)) { KeyId = "2026-10" };
var handler = new JsonWebTokenHandler();
var token = handler.CreateToken(new SecurityTokenDescriptor
{
    Issuer = "https://auth.example.com",
    Audience = "api",
    Claims = new Dictionary<string, object> { ["sub"] = "user-42" },
    Expires = DateTime.UtcNow.AddMinutes(10),
    SigningCredentials = new SigningCredentials(key, SecurityAlgorithms.EcdsaSha256),
});

// Pin the algorithm (ES256 is not tied to P-256 here) and shrink the 5-minute default skew.
var result = await handler.ValidateTokenAsync(token, new TokenValidationParameters
{
    IssuerSigningKey = key,
    ValidIssuer = "https://auth.example.com",
    ValidAudience = "api",
    ValidAlgorithms = new[] { SecurityAlgorithms.EcdsaSha256 },
    ClockSkew = TimeSpan.FromSeconds(30),
});
Console.WriteLine($"valid: {result.IsValid}, sub: {result.Claims["sub"]}");