使用jwt gem编码解码ES256密钥时遇JWT::IncorrectAlgorithm错误

核心问题与修复方案 #

解码ES256算法签名的JWT时，必须显式指定预期算法，且使用对应公钥（而非私钥）验证签名，以下是正确的解码代码示例：

# 从字符串加载配对的公钥
public_key = OpenSSL::PKey::EC.new(public_key_string)

# 执行解码与签名验证
decoded_payload, header = JWT.decode(
  jwt_token, # 你编码得到的JWT字符串
  public_key,
  true, # 开启签名验证（必须设为true才会校验算法）
  { algorithm: "ES256" } # 明确指定预期算法，与编码时一致
)

常见错误点排查 #

• 解码时未指定algorithm: "ES256"：jwt gem不会自动读取header中的alg来匹配验证逻辑，必须显式声明预期算法
• 使用私钥解码：ES256是非对称加密，签名验证仅需公钥，误用私钥会触发算法不匹配错误
• 公钥私钥不配对：确保解码用的公钥与编码时的私钥是同一密钥对生成的

额外验证步骤 #

可以先确认编码后的JWT头部确实包含正确的算法标识：

require 'base64'
header_part = jwt_token.split('.')[0]
decoded_header = JSON.parse(Base64.urlsafe_decode64(header_part))
puts decoded_header['alg'] # 正常应输出"ES256"

内容的提问来源于stack exchange，提问作者Scott Hillson