Структура токена JSON Web Token (JWT) и причины отклонения платформой 1С

При завершении аутентификации OpenID Connect провайдер (IdP) передает платформе 1С подписанный ID Token в формате JSON Web Token (RFC 7519), состоящий из трех частей, разделенных точками: Header.Payload.Signature. Платформа 1С выполняет криптографическую валидацию токена. Ошибка «Неверный токен JWT» (Invalid JWT Token / Signature Verification Failed / Token Expired) генерируется в следующих случаях:

• Сбой подписи (Signature Mismatch): Токен подписан приватным ключом, публичная пара которого отсутствует в эндпоинте jwks_uri.
• Истечение срока действия (Expired, exp): Текущее время сервера 1С опережает временную метку exp в payload токена.
• Несоответствие аудитории (Audience, aud) или издателя (Issuer, iss): Значение iss в токене не совпадает в точности (байт-в-байт) с URL провайдера в default.vrd.

Бизнес-риски

Отказ в обслуживании доверенных пользователей, невозможность интеграции с корпоративными SSO-порталами, сбои при обработке API-запросов внешних мобильных клиентов.

Регламент валидации и исправления ошибок JWT в 1С

Сценарий 1: Проверка и декодирование JWT-токена в консоли

Для выявления некорректных клеймов перехватите и декодируйте входящий токен:

# Декодирование полезной нагрузки JWT через Python / CLI
python3 -c '
import sys, json, base64
token = sys.argv[1]
payload = token.split(".")[1]
# Коррекция base64 padding
payload += "=" * ((4 - len(payload) % 4) % 4)
print(json.dumps(json.loads(base64.b64decode(payload)), indent=2))
' "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE3MTAwMDAwMDB9..."

Сценарий 2: Анализ полей токена и устранение расхождений

Проверьте соответствие полей спецификации 1С:

• iss (Issuer): Должен совпадать с URL в default.vrd (например, https://idp.corp.local/realms/master). Ошибка в наличии или отсутствии закрывающего слэша / ломает строгую проверку строк!
• aud (Audience): Обязан содержать значение clientId, сконфигурированное в 1С. В Keycloak настройте Client Scope $\rightarrow$ Audience Mapper.
• exp и nbf: Проверьте синхронизацию часов сервера 1С и сервера IdP с точностью до секунды через NTP (chrony).

Сценарий 3: Настройка алгоритма подписи в Identity Provider (RS256 vs HS256)

Платформа 1С ожидает подпись токена асимметричным алгоритмом RS256 (RSA Signature with SHA-256) или ES256:

1. В настройках клиента Keycloak перейдите в Fine Grain OpenID Connect Configuration.
2. Убедитесь, что параметр ID Token Signature Algorithm установлен в RS256 (симметричный алгоритм HS256 платформой 1С не поддерживается для OIDC Discovery).

Типовые ошибки администраторов

• Рассинхронизация времени серверов на несколько секунд: Если время на сервере 1С спешит на 5 секунд относительно IdP, токен считается «еще не наступившим» (nbf / Not Before error).
• Ротация ключей JWKS без очистки кэша 1С: При смене ключей на стороне Keycloak сервер 1С кэширует старый набор ключей. Требуется перезапуск рабочего процесса rphost или пула веб-сервера.