Validate Facebook Limited Login JWT Token in Golang

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

type (
	Auth struct {
		JWTToken     string
		Nonce        string
		APIHost      string
		AppID        string
		JWKSEndpoint string
		Client       *http.Client
	}

	// 檢查 token 有無過期、驗證 issuer 與 audience 都是屬於 JWT 規範中定義的一些常見聲明
	// 可以使用 jwt.RegisteredClaims 即可
	// 但因為我們有攜帶 `Nonce`，為 FB 自定義的部分，所以需要自訂 Claim
	ClientClaims struct {
		jwt.RegisteredClaims
		Nonce string `json:"nonce"`
	}
)

func NewFBAuth(jwtToken, nonce string) *Auth {
	return &Auth{
		JWTToken:     jwtToken,
		Nonce:        nonce,
		//屬於敏感資訊，以 env config 形式取得
		APIHost:      config.Config.FacebookAuth.APIHost, // 預期的 issuer 值
		AppID:        config.Config.FacebookAuth.AppID, // 預期的 audience 值
		JWKSEndpoint: config.Config.FacebookAuth.JWKSEndpoint,
		Client:       &http.Client{Timeout: 30 * time.Second},
	}
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56

func (a *Auth) ValidateJWTToken() error {
	set, err := a.fetchPublicKeySet() // 取得 JWKS Public key
	if err != nil {
		return err
	}

	token, err := jwt.NewParser( // 使用套件內建的 validator 驗證標準聲明的欄位
		jwt.WithExpirationRequired(), // 檢查 token 有無過期
		jwt.WithIssuer(a.APIHost), // Token issuer 是否正確（等於 a.APIHost）
		jwt.WithAudience(a.AppID), // Audience 是否正確（等於 a.AppID）
	).ParseWithClaims(a.JWTToken, &ClientClaims{}, func(token *jwt.Token) (interface{}, error) {
		// 取得 header 的 kid 值，用來尋找 JWKS 端點回傳 json 當中匹配的 pub key
		keyID, ok := token.Header["kid"].(string)
		if !ok {
			return nil, errors.Str("expecting JWT header to have string kid")
		}

		keys := set.LookupKeyID(keyID)
		if len(keys) == 0 {
			return nil, errors.Str("can not find kid")
		}

		var key interface{}
		if err := keys[0].Raw(&key); err != nil {
			return nil, err
		}

		return key, nil
	})
	if err != nil {
		return err
	} else if claims, ok := token.Claims.(*ClientClaims); ok {
		// 由於 Nonce 為自定義的聲明屬性，需要額外手動驗證
		if claims.Nonce != a.Nonce {
			return errors.Errorf("nonce mismatch: %s != %s", claims.Nonce, a.Nonce)
		}
	} else {
		return errors.Errorf("expecting *ClientClaims, got %T", token.Claims)
	}

	return nil
}

func (a *Auth) fetchPublicKeySet() (*jwk.Set, error) {
	resp, err := a.Client.Get(a.JWKSEndpoint)
	if err != nil {
		return nil, err
	}
	respBody, err := io.ReadAll(resp.Body)
	if err != nil {
		return nil, err
	}
	defer resp.Body.Close()

	return jwk.ParseBytes(respBody)
}