使用Terraform管理Auth0租户后JWT签名算法不符问题排查

问题重现 #

使用Terraform接管Auth0租户配置后，登录时触发错误：

Callback handler failed. CAUSE: unexpected JWT alg received, expected RS256, got: HS256

已确认应用端及Terraform配置中均指定signing_alg = "RS256"，但实际生成的JWT仍采用HS256签名。

核心原因及修复方案 #

• 签名密钥未清空：手动配置阶段可能为API资源设置过signing_secret，即便Terraform中设为null，Auth0仍会保留原有密钥。只要signing_secret存在，Auth0会优先使用HS256算法。需登录Auth0控制台，进入对应API资源的高级设置 > 令牌签名，清空签名密钥并保存。
• Terraform状态与实际资源不同步：执行terraform refresh同步本地状态与云端资源，再运行terraform apply确保配置完全覆盖。有时旧的配置残留会导致算法设置未生效。
• 受众（Audience）不匹配：客户端请求的aud参数可能未指向Terraform管理的API资源（my-id），而是匹配了其他默认/手动创建的、使用HS256的资源。检查客户端的受众配置，确保与identifier = "my-id"完全一致。
• Token Dialect冲突：配置中token_dialect = "access_token_authz"可能干扰令牌生成逻辑。临时改为默认值access_token测试，若问题解决，再逐步调整回目标dialect并验证。

验证步骤 #

1. 解码JWT令牌，确认aud字段值为my-id，确保令牌指向正确的API资源。
2. 检查Auth0控制台中API资源的签名设置：算法为RS256，且无签名密钥。
3. 执行terraform plan，确认signing_secret的变更记录为null，无残留值。

内容的提问来源于stack exchange，提问作者Alfonso