authentication - 你应该如何保存一个jwk？

Question

我希望这不是一个幼稚的问题，而是从 .well-known/jwks.json 域获取 jwk 时应该如何保存它。

目前我对模数和指数进行硬编码，但这似乎不是一个很好的解决方案。

将其添加到数据库似乎毫无意义，因为这将是一个不合理的调用，因为 e & n 值不会改变。

存储在缓存中似乎是最好的解决方案之一。

为每个请求调用 .well-known/jwks.json 似乎也没有必要。

其他人的做法是什么？

Answer 1

通过 GET 调用获得的密钥集的存储应该依赖于 HTTP 标头，尤其是cache-control指令。如果设置了no-cacheor no-store，那么您不应该保存密钥集并在需要时获取它。

通常，您将有一个max-age指令（例如，请参阅Google 的密钥集）。我建议您尊重该指令并将密钥集存储在您的应用程序缓存中。

我不确定数据库的使用在这里是否相关；缓存存储通常比数据库存储更有效。