Node.js v20.11.0中jwt.sign报错：secretOrPrivateKey不是有效密钥材料

你的代码核心问题是错误地将密钥参数包装成了对象格式，jwt.sign的第二个参数需要直接传入密钥本身（字符串或SecretKey对象），而非{secretOrPrivateKey: "xxx"}这种结构。以下是两种修复方案：

方案一：直接使用字符串密钥（默认对称加密场景） #

适用于HS256等对称加密算法（jwt默认算法），直接传入密钥字符串即可：

userSchema.methods.generateAccessToken = function(){
    const payload = {
        _id: this._id,              
        email: this.email,
        username: this.username,
        fullname: this.fullname
    }
    // 直接定义密钥字符串，不要包装成对象
    const secret = "onlne-generted-security-key-sha256";
    const option = {
        expiresIn: process.env.ACCESS_TOKEN_EXPIRY
    }
    // jwt.sign是同步方法，无需await
    return jwt.sign(payload, secret, option);   
}

方案二：使用crypto.createSecretKey生成规范密钥对象 #

如果要遵循v9版本的密钥规范，用crypto生成SecretKey对象后传入：

const crypto = require('crypto');

userSchema.methods.generateAccessToken = function(){
    const payload = {
        _id: this._id,              
        email: this.email,
        username: this.username,
        fullname: this.fullname
    }
    // 生成SecretKey对象，指定编码和对应算法
    const secretKey = crypto.createSecretKey("onlne-generted-security-key-sha256", 'utf8');
    const option = {
        expiresIn: process.env.ACCESS_TOKEN_EXPIRY,
        // 显式指定算法，避免版本兼容问题
        algorithm: 'HS256'
    }
    return jwt.sign(payload, secretKey, option);   
}

额外说明 #

• 不要给jwt.sign的第二个参数传对象，无论密钥是字符串还是crypto生成的对象，都直接传入即可。
• jwt.sign本身是同步方法，无需添加await，除非你使用了回调函数模式。
• 确认你的jsonwebtoken版本为v9+，v9版本对密钥格式的校验更严格，这也是你看到迁移文档的原因。

内容的提问来源于stack exchange，提问作者Sharath