<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Fri, Dec 11, 2015 at 2:36 PM, Marvin Addison <span dir="ltr"><<a href="mailto:marvin.addison@gmail.com" target="_blank">marvin.addison@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div dir="ltr"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">In the meantime I just went ahead and wrote GoogleIdPrincipal,<br>
GoogleIdTokenContext, ExtractGoogleIdTokenFromFormRequest,<br>
and ValidateGoogleIdToken classes.</blockquote><div><br></div><div>I'm interested in ValidateGoogleIdToken. Are you explicitly configuring the public key used to validate the token signature? Or is there a metadata source involved?</div></div></div></blockquote><div><br></div><div>There is where focusing just on Google at this time makes things simpler. There is a Google API client library for validating ID tokens sent by Google. It makes that part quite simple. See</div><div><br></div><div> <a href="https://developers.google.com/identity/sign-in/web/backend-auth">https://developers.google.com/identity/sign-in/web/backend-auth</a></div><div><br></div><div>The more general problem would be much more interesting but I need to learn more about how the OIDC community thinks the keys will be made available in secure and scalable ways. </div><div><br></div><div>Thanks,</div><div><br></div><div>Scott K</div></div></div></div>