JWT - Verify Token given a public key - genexus

Question

I need to create a Rest API that receives a JWT token and I need to validate it with a given public key.
"They must validate the "Bearer Token" sent in the header of
requests using a public key provided according to the environment, as well as verifying the
scope user availability. Consult "
The public key:
http://desenv.authenticador.sp.gov.br/.well-known/jwks
I tried using DoVerify() but I don't know where to enter the public key.
&token = &HttpRequest.GetHeader('Authorization')
if not &token.IsEmpty()
&token = &token.Replace("Bearer ", "")
&result = &JWTCreator.DoVerify(&token, JWTAlgorithm.RS256, &privateClaims, &JWTOptions)
if &result
&mensagem = 'token is valid'
else
&mensagem = "token is NOT valid"
If &JWTCreator.HasError()
&codigo = &JWTCreator.GetErrorCode().ToNumeric()
&mensagem = &JWTCreator.GetErrorDescription()
EndIf
endif
else
&codigo = 401
&mensagem = "Token not found!"
endif
Any suggestions?
Thanks

Answer 1

If you already have a token, use that in jet.io to encode the first part of the key. Is the jwt token created by your application? - if so then you probably might have included a public key in the first part of the jwt token.

Answer 2

Load the certificate using the Certificate type. The function will depend on the format of the cert.
Then, add it to the JWTOptions
Also, it looks like the DoVerifyJustSignature is the function you want to use in that case.

Answer 3

I solved this problem as follows:
A procedure that expects a token and returns a code and a message.
parm(in:&jwt_token, out:&codigo, out:&mensagem);
Source:
&codigo = 0
&mensagem = ''
if not &jwt_token.IsEmpty() and &jwt_token.Contains('Bearer')
&token = &jwt_token.Replace("Bearer ", "")
// capturar o payload do token e o header para comparar com o que temos na chave publica.
&payload = &JWTCreator.GetPayload(&token)
&header = &JWTCreator.GetHeader(&token)
// carregar o payload e header no SDT.
&SDTJWTOptions.header.FromJson(&header)
&SDTJWTOptions.payload.FromJson(&payload)
// Validar se o token é compátivel com a chave publica disponibilizada.
&ChavePub_SDTJWTOptions.header.FromJson('{"typ": "JWT","alg": "RS256","x5t": "vST_OxZ0TJ5w3miLGWJ7xlH8sZo","kid": "vST_OxZ0TJ5w3miLGWJ7xlH8sZo"}')
If (&SDTJWTOptions.header.alg <> &ChavePub_SDTJWTOptions.header.alg) or
(&SDTJWTOptions.header.typ <> &ChavePub_SDTJWTOptions.header.typ) or
(&SDTJWTOptions.header.x5t <> &ChavePub_SDTJWTOptions.header.x5t) or
(&SDTJWTOptions.header.kid <> &ChavePub_SDTJWTOptions.header.kid)
&codigo = 401
&mensagem = "Token Inválido!" // existe um Bearer Token inválido;
Return
EndIf
// Validar se o token está com a data de expiração válida.
// A data do token é em formato UNIX que faz necessário a conversão.
// - Data UNIX inicia em 1/1/1970 as 00:00:00
// - Com a data UNIX formatada, adicionar a expiração em UNIX como segundos.
&Datetime = YMDHMStoT(1970, 1, 1, 00, 00, 00)
&NowDatetime = ServerNow()
&TokenDatetime = &Datetime.AddSeconds(&SDTJWTOptions.payload.exp)
// Valida se o retorno da diferença das datas (atual vs token) é menor que 0,
// indicando que a data de expiração já passou e é inválida.
&Diff = &TokenDatetime.Difference(&NowDatetime)
If &Diff <= 0
&codigo = 401
&mensagem = "Token Expirado!" // existe um Bearer Token válido, porém está expirado;
EndIf
Else
&codigo = 401
&mensagem = "Requisição sem token de autorização" // não encontrado o Bearer Token no header;
EndIf
Return