在IBM DataPower GatewayScript中验证JWT签名遇格式错误问题

架构老林

2026-6-19

解决IBM DataPower GatewayScript JWT签名验证的JOSE格式错误问题

问题根源

你遇到的Error: The data format for JOSE parse() is incorrect.错误，核心原因有两个：

你的JWK包含非标准字段issuer，DataPower的JOSE解析器会因识别到无效字段报错
错误地将JWK转换为JSON字符串或Buffer传入verify操作，该操作直接支持原始JWK对象

解决方案

步骤1：清理JWK的非标准字段

先移除JWK中不属于RFC7517标准的issuer字段，保留kty、use、kid、n、e等必填项。

步骤2：直接传入原始JWK对象

不需要对JWK做任何字符串或Buffer转换，直接将jwk.isJWK()验证通过的原始对象传给addOperation('verify')方法。

修改后的代码

var options = {
    validateDataType: false, 
    validateAudience: true,          
    validateExpiration: true,  
    validateNotBefore: true  
};

var params = {
    'aud': session.parameters.azureClientId,
    'tid': session.parameters.azureIssuer
};

// 移除JWK中的非标准issuer字段
delete key.issuer;

console.log(jwk.isJWK(key)); // 确认是有效JWK

var decoder = new jwt.Decoder(oauthToken);
decoder.addOperation(options, 'validate', params)
    // 直接传入原始JWK对象，无需转换
    .addOperation('verify', key)
    .decode(function(error, claims){
        if (error) {
            console.error('Introspection failed: ' + error);
            session.reject('IntrospectionError');
            session.output.write(XML.parse(`<declined/>`));  
        } else {
            oauthctx = true;
            console.log('Introspection successfull');
            session.output.write(XML.parse(`<approved/>`));
        }
});