如何用JWKS-RSA验证JWT？Kinde登录后Node后端验证报错

问题根源 #

这个报错是因为jose库导入JWK时默认未开启密钥可提取权限，或是jwks-rsa的密钥处理逻辑与jose配置不兼容导致的。

具体解决方案 #

1. 手动配置密钥提取权限

如果必须使用jwks-rsa，在获取密钥后手动通过jose导入时指定extractable: true：

const jwksClient = require('jwks-rsa');
const jose = require('jose');

const client = jwksClient({
  jwksUri: 'https://你的Kinde域名/.well-known/jwks.json'
});

async function getValidSigningKey(kid) {
  const signingKey = await client.getSigningKey(kid);
  // 显式设置密钥可提取
  return jose.importJWK(signingKey.getPublicKey(), 'RS256', { extractable: true });
}

2. 用jose内置功能替代jwks-rsa

jose本身支持远程JWKS获取，完全可以不用jwks-rsa，彻底规避兼容性问题：

const jose = require('jose');

async function verifyKindeToken(token) {
  const jwks = jose.createRemoteJWKSet(new URL('https://你的Kinde域名/.well-known/jwks.json'));
  const result = await jose.jwtVerify(token, jwks, {
    algorithms: ['RS256'],
    issuer: 'https://你的Kinde域名' // 替换为你的Kinde issuer地址
  });
  return result.payload;
}

这种方式下jose会自动处理密钥导入与验证逻辑，无需手动配置extractable参数。

3. 升级依赖版本

若坚持使用jwks-rsa，确保jwks-rsa和jose都是最新稳定版，旧版本可能存在适配bug：

npm update jwks-rsa jose

4. 确认Kinde密钥格式

检查你获取的JWKS密钥，确保kty为RSA、alg为RS256、use为sig，这些参数必须与验证时使用的算法一致，否则也会引发密钥处理异常。

内容的提问来源于stack exchange，提问作者Michael Lorton