52 lines
1.6 KiB
Go
52 lines
1.6 KiB
Go
package moduletrust
|
|
|
|
import (
|
|
"context"
|
|
"crypto/ed25519"
|
|
"fmt"
|
|
"io"
|
|
"net/http"
|
|
)
|
|
|
|
// FetchJWKSFromURL baut eine KeyFetchFunc, die einen JWKS-Endpunkt (siehe
|
|
// ServeJWKS) per HTTP GET abruft und dekodiert — die uebliche Art, wie eine
|
|
// nur-pruefende Instanz (kein direkter Datenbankzugriff auf den
|
|
// Schluesselspeicher) an den oeffentlichen Schluesselsatz kommt. Der
|
|
// Aufrufer uebergibt das Ergebnis an NewVerifier; das dort konfigurierte TTL
|
|
// bestimmt, wie oft tatsaechlich abgerufen wird (nicht bei jeder Verify()).
|
|
func FetchJWKSFromURL(client *http.Client, url string) KeyFetchFunc {
|
|
if client == nil {
|
|
client = http.DefaultClient
|
|
}
|
|
return func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
|
|
req, err := http.NewRequestWithContext(ctx, http.MethodGet, url, nil)
|
|
if err != nil {
|
|
return nil, fmt.Errorf("jwks-anfrage aufbauen: %w", err)
|
|
}
|
|
resp, err := client.Do(req)
|
|
if err != nil {
|
|
return nil, fmt.Errorf("jwks abrufen: %w", err)
|
|
}
|
|
defer resp.Body.Close()
|
|
if resp.StatusCode != http.StatusOK {
|
|
return nil, fmt.Errorf("jwks abrufen: status %d", resp.StatusCode)
|
|
}
|
|
body, err := io.ReadAll(io.LimitReader(resp.Body, 1<<20))
|
|
if err != nil {
|
|
return nil, fmt.Errorf("jwks-antwort lesen: %w", err)
|
|
}
|
|
raw, err := ParseJWKS(body)
|
|
if err != nil {
|
|
return nil, err
|
|
}
|
|
out := make(map[string]ed25519.PublicKey, len(raw))
|
|
for kid, pub := range raw {
|
|
if len(pub) != ed25519.PublicKeySize {
|
|
return nil, fmt.Errorf("jwks: schluessel %q hat ungueltige laenge", kid)
|
|
}
|
|
out[kid] = ed25519.PublicKey(pub)
|
|
}
|
|
return out, nil
|
|
}
|
|
}
|