FAPI 1.0に準拠したクライアントアプリケーションと リソースサーバの作り方

リスト1：

public String buildAndSign(JWK jwk) throws Exception {
    // 署名アルゴリズムの設定
    JWSAlgorithm alg = (JWSAlgorithm) jwk.getAlgorithm();

    // 署名鍵の設定
    JWSSigner signer;
    if (jwk.getKeyType() == KeyType.RSA) {
        signer = new RSASSASigner((RSAKey) jwk);
    } else {
        signer = new ECDSASigner((ECKey) jwk);
    }

    // JWSのヘッダとペイロードの作成
    JWTClaimsSet payload = this.claims.build();
    SignedJWT jws = new SignedJWT(new JWSHeader.Builder(alg).type(JOSEObjectType.JWT).keyID(jwk.getKeyID()).build(),
            payload);

    // 署名鍵で署名
    jws.sign(signer);
    return jws.serialize();
}

リスト2：

{
  "kid": "P-Vl1UP9ZBAdrMmh8jNIXSLc310HDH1dBYQXb-cpdZs",
  "typ": "JWT",
  "alg": "PS256"
}
{
  "iss": "fapi-client",
  "response_type": "code id_token",
  "code_challenge_method": "S256",
  "nonce": "89308f0d-900c-4f79-aafd-4305ba51718b",
  "client_id": "fapi-client",
  "response_mode": "form_post",
  "aud": "https://localhost:8443/auth/realms/fapi",
  "nbf": 1637043363,
  "scope": "email openid profile",
  "redirect_uri": "https://localhost:8082/callback",
  "state": "963e62c9-4802-46c9-a296-412e2cf9bb52",
  "exp": 1637043663,
  "code_challenge": "oUaZfOQ4Hzt5yeDhChQfEoWJyc_LX69N6GYZALKqouY"
}

リスト3：

public void verifiy(JWKSet jwkSet, JWK decryptionKey) throws Exception {
    …

    // c_hashクレームやs_hashクレームなどの検証
    jwtProcessor.setJWTClaimsSetVerifier(new DefaultJWTClaimsVerifier<>(this.expectedClaimsSet.build(),
            new HashSet<>(Arrays.asList("sub", "iat", "exp"))));
    …
}

public IDTokenValidator code(String code) {

    // codeパラメータのハッシュ値の計算
    String cHash = CryptoUtil.calcurateXHash(code);

    // codeパラメータのハッシュ値の格納
    this.expectedClaimsSet.claim("c_hash", cHash);
    return this;
}

public IDTokenValidator state(String state) {

    // stateパラメータのハッシュ値の計算
    String sHash = CryptoUtil.calcurateXHash(state);

    // stateパラメータのハッシュ値の格納
    this.expectedClaimsSet.claim("s_hash", sHash);
    return this;
}

リスト4：

public static String calcurateXHash(String input) {
    try {
        MessageDigest md = MessageDigest.getInstance("SHA-256");
        md.update(input.getBytes());

        // ハッシュ関数SHA-256の計算
        byte[] digest = md.digest();

        // ハッシュ関数SHA-256で計算された値の左半分を取得
        byte[] leftHalf = Arrays.copyOfRange(digest, 0, digest.length / 2);

        // Base64URLエンコードしたものを返却
        return Base64Url.encode(leftHalf);
    } catch (Exception e) {
        e.printStackTrace();
        return null;
    }
}

リスト5：

private void validateRequest(HttpServletRequest servletRequest) throws ServletException {
    …

    // クライアント証明書を取得し、X.509証明書にパース
    X509Certificate[] certs = (X509Certificate[]) servletRequest
            .getAttribute("javax.servlet.request.X509Certificate");
    …
}

リスト6：

private void validateCnfValue(X509Certificate[] certs, CNF cnf) throws ServletException {

    // クライアント証明書が取得できているかの確認
    if (certs == null || certs.length == 0) {
        throw new ServletException("request has no certificates information");
    }

    // アクセストークンにクライアント証明書のハッシュ値が紐づけられているかの確認
    if (cnf.getX5t() == null) {
        throw new ServletException("IntrospectionResponse has no cnf value");
    }
    String actual = null;
    try {
        MessageDigest md = MessageDigest.getInstance("SHA-256");

        // クライアント証明書をDER形式にエンコーディング
        md.update(certs[0].getEncoded());

        // ハッシュ関数SHA-256の計算
        byte[] digest = md.digest();

        // Base64URLエンコード
        actual = Base64Url.encode(digest);
    } catch (Exception e) {
        e.printStackTrace();
    }

    // 計算したハッシュ値とcnfクレームのx5t#S256ヘッダにバインドされたハッシュ値の比較
    if (!cnf.getX5t().equals(actual)) {
        throw new ServletException(
                String.format("x5t#S256 is not match: expected [%s], actual [%s]", cnf.getX5t(), actual));
    }
}