Java17 Spring Security JWT0.12.6验证报错：无法定位HS512签名密钥

DevOps 小满

2026-6-19

问题分析与修复

核心错误

你遇到的Cannot verify JWS signature错误，根源在validateToken方法的逻辑误用：你用decryptWith(key)处理签名型JWT（JWS），但HS512是签名算法而非加密算法，验证签名应该用verifyWith，而非解密操作。

关键概念理清

签名（Sign）：你生成JWT时用signWith(key)，是用密钥对JWT内容生成签名，目的是防止内容被篡改。接收方拿到JWT后，用相同密钥重新计算签名并比对，验证合法性（你的场景属于这类，生成的是JWS格式的token）。
解密（Decrypt）：仅当生成加密型JWT（JWE）时才需要解密，这类JWT会把内容加密，需要密钥解密才能拿到明文。你的代码并未生成JWE，因此完全不需要decryptWith。

修复后的`validateToken`方法

将原方法的解密逻辑替换为签名验证逻辑，和getEmailFromJWT的解析方式保持一致：

public boolean validateToken(String token) {
    try {
        SecretKey key = getSecretKey();
        // 用verifyWith验证签名，解析签名后的JWT
        Jwts.parser()
                .verifyWith(key)
                .build()
                .parseSignedClaims(token);
        return true;
    } catch(SecurityException | MalformedJwtException e) {
        throw new AuthenticationCredentialsNotFoundException("JWT signature verification failed or token is malformed");
    } catch (ExpiredJwtException e) {
        throw new AuthenticationCredentialsNotFoundException("Expired JWT token.");
    } catch (UnsupportedJwtException e) {
        throw new AuthenticationCredentialsNotFoundException("Unsupported JWT token.");
    } catch (IllegalArgumentException e) {
        throw new AuthenticationCredentialsNotFoundException("JWT token compact format is invalid.");
    }
}