为HTTP触发器配置JWT认证鉴权

1. 登录函数计算控制台，在左侧导航栏，单击服务及函数。
2. 在顶部菜单栏，选择地域，然后在服务列表页面，单击目标服务。
3. 在函数管理页面，单击目标函数名称，然后在函数详情页面，单击触发器管理（URL）页签。

4. 在触发器管理（URL）页签，单击HTTP触发器操作列的编辑按钮。

5. 在编辑触发器面板，设置以下配置项，然后单击确定。

   1. 认证方式选择为JWT 认证。

      

   2. 配置JWKS。

      为HTTP触发器配置JWT鉴权，首先需要提供一个有效的JWKS（JSON Web Key Set）。您可以自行生成JWKS，或者搜索JSON Web Key Generator寻找在线可用的生成工具，例如mkjwk.org。如果您已经有pem格式的密钥，可以借助工具（例如jwx），将其转换为JWKS格式。

      本文以使用mkjwk.org工具生成JWKS为例进行演示。如下图所示，在生成界面，Key Use选择Signature、Algorithm选择RS256、Show X.509选择Yes，然后单击Generate。在您的代码中需要使用Private Key（下图中①）签发JWT Token，请妥善保管。您可以复制Public Key（下图中②）中的内容填入到控制台JWKS配置的keys数组中。

      

      

      本文配置的JWKS示例如下。

      {
          "keys": [
              {
                  "alg": "RS256",
                  "e": "AQAB",
                  "kty": "RSA",
                  "n": "u1LWgoomekdOMfB1lEe96OHehd4XRNCbZRm96RqwOYTTc28Sc_U5wKV2umDzolfoI682ct2BNnRRahYgZPhbOCzHYM6i8sRXjz9Ghx3QHw9zrYACtArwQxrTFiejbfzDPGdPrMQg7T8wjtLtkSyDmCzeXpbIdwmxuLyt_ahLfHelr94kEksMDa42V4Fi5bMW4cCLjlEKzBEHGmFdT8UbLPCvpgsM84JK63e5ifdeI9NdadbC8ZMiR--dFCujT7AgRRyMzxgdn2l-nZJ2ZaYzbLUtAW5_U2kfRVkDNa8d1g__2V5zjU6nfLJ1S2MoXMgRgDPeHpEehZVu2kNaSFvDUQ",
                  "use": "sig"
              }
          ]
      }

   3. 在JWT Token 配置配置项中，选择Token所在位置和Token的名称。

      Token位置支持Header、Cookie、Query参数（GET）和表单参数（POST）。如果Token位置选择为Header，则还需为其指定参数名称和去除前缀。函数计算在获取Token时，会删除去除前缀中设定的前缀内容。

      重要

      设定去除前缀时，请注意前缀后面是否存在空格。推荐在前缀字段后加一个空格，例如Bearer 。

   4. 在JWT Claim 转换配置项中，选择透传给函数的参数所在位置、参数原始名称和参数透传给函数之后的名称。

      映射参数位置支持Header、Cookie和表单参数（POST）。

   5. 设置请求匹配模式。

      • 匹配全部：所有HTTP请求都需要进行JWT校验。

      • 白名单模式：请求路径白名单中设置的Path的HTTP请求不需要JWT校验，其他请求需要JWT校验。

      • 黑名单模式：请求路径黑名单中设置的Path的HTTP请求需要JWT校验，其他请求不需要JWT校验。

      白名单模式和黑名单模式支持以下两种匹配模式。

      • 精确匹配

        请求的路径和设置的路径完全一致才可以匹配。例如，设置请求路径黑名单为/a，则来自路径/a的请求需要JWT校验，来自路径/a/的请求无需校验。

      • 模糊匹配

        支持使用通配符（*）设置路径，且通配符（*）只能放到路径的最后。例如，设置请求路径黑名单为/login/*，则来自路径前缀为/login/（例如/login/a、/login/b/c/d）的请求均需要JWT校验。

在调测工具（本文以Postman工具为例）中，根据HTTP触发器的JWT配置，填写访问地址、Token等，验证是否可以正常访问HTTP服务。

1. 使用步骤一中生成的X.509 PEM格式的Private Key作为私钥来颁发JWT Token。以下步骤以Python为例演示通过本地脚本生成Token的过程。

   1. 安装 PyJWT模块。

      pip install 'PyJWT>=2.0'

   2. 在本地运行如下Python示例脚本生成JWT Token。

      import jwt
      import time
      
      private_key = """
      -----BEGIN PRIVATE KEY-----
      <使用步骤一生成的 X.509 PEM格式的private key>
      -----END PRIVATE KEY-----
      """
      
      headers = {
          "alg": "RS256",
          "typ": "JWT"
      }
      
      payload = {
          "sub": "1234567890",
          "name": "John Snow",
          "iat": int(time.time()),   # token颁发时间
          "exp": int(time.time()) + 60 * 60,   # 设定token有效时间为1小时
      }
      
      
      encoded = jwt.encode(payload=payload, key=private_key.encode(), headers=headers)
      print("Generated token: %s" % encoded)
      

2. 使用Postman工具验证HTTP服务是否可正常访问。

   1. 在目标函数的触发器管理（URL）页签获取HTTP触发器的公网访问地址，将地址填入Postman的URL位置。

   2. 在Postman的Headers配置Token参数信息，然后单击Send发送请求。本文填写的Token示例如下。

      名称	示例值	说明
      Key	Authentication	在JWT Token 配置中设置的参数名称。
      Value	Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLg	在JWT Token 配置中设置的去除前缀信息拼接JWT Token。示例值假设去除前缀已设置为Bearer 。

      重要

      请注意，请求header中JWT参数的前缀和空格需要与JWT Token 配置中设置的去除前缀内容一致，否则会导致触发器解析Token时出错并返回invalid or expired jwt错误。