Ktor集成JWT RS256认证时遇Base64非法字符及密钥格式错误

第一个错误：Illegal base64 character 2b #

这个错误是因为Base64URL编码不允许出现+字符（ASCII码2b），你在转换密钥为Base64URL时未完成规范转换：Base64URL要求把+替换为-、/替换为_，同时移除末尾所有=填充符。

第二个错误：invalid key format #

ssh-keygen生成的公钥是OpenSSH专属格式，Java密钥工厂无法直接解析，必须先转换为X.509标准格式的PEM公钥，再提取模数和指数参数。

正确的密钥生成与JWKS配置流程 #

1. 生成标准RSA密钥对 #

用OpenSSL生成无密码保护的RSA私钥（避免签名时需输入密码）：

openssl genrsa -out private_key.pem 2048

提取X.509格式的公钥：

openssl rsa -in private_key.pem -pubout -out public_key.pem

2. 提取公钥的modulus和exponent #

将公钥转换为DER二进制格式：

openssl rsa -in public_key.pem -pubin -outform der -out public_key.der

通过本地Java代码（或安全的离线工具）提取模数（modulus）和指数（exponent），再转换为Base64URL编码：

• 模数：转为BigInteger后提取字节数组，再做Base64URL编码
• 指数：通常为65537，转为字节数组后做Base64URL编码

3. 配置JWKS #

确保JWKS结构符合规范：

• kty设为RSA
• alg设为RS256
• use设为sig
• n（模数）和e（指数）必须是正确的Base64URL编码值，无多余字符或格式错误

4. Ktor中JWKS Provider配置 #

确认JWKS Provider指向正确端点，且获取公钥时的kid与JWKS中定义的完全一致：

val jwkProvider = JwkProviderBuilder(URL("https://your-jwks-endpoint"))
    .cached(10, 24, TimeUnit.HOURS)
    .rateLimited(10, 1, TimeUnit.MINUTES)
    .build()

val publicKey = jwkProvider.get("6f8856ed-9189-488f-9011-0ff4b6c08edc").publicKey

额外注意事项 #

• 不要手动移除PEM公钥的-----BEGIN PUBLIC KEY-----和-----END PUBLIC KEY-----头尾后直接编码，必须先提取DER格式内容再处理
• 敏感密钥避免使用在线工具处理，尽量本地用OpenSSL或Java代码完成参数提取

内容的提问来源于stack exchange，提问作者Stelios Papamichail