NextAuth集成自定义OAuth时JWT签名验证失败问题求助

数据老陈

2026-7-2

NextAuth集成自定义OAuth提供商（OW4）时JWT签名验证失败

我正在为Next.js网站使用next-auth库集成自定义OAuth登录提供商（OW4），当前的pages/api/auth/[...nextauth].ts配置如下：

import NextAuth, { NextAuthOptions } from "next-auth";

export const authOptions: NextAuthOptions = {
  providers: [
    {
      id: "ow4",
      name: "Online Web 4 Authorization",
      type: "oauth",
      authorization: {
        params: { scope: "openid profile onlineweb4" },
      },
      clientSecret: process.env.OW_CLIENT_SECRET,
      clientId: process.env.OW_CLIENT_ID,
      wellKnown:
        "https://old.online.ntnu.no/openid/.well-known/openid-configuration",
      profile(profile) {
        return {
          id: profile.id,
          name: profile.first_name + profile.last_name,
          email: profile.email,
        };
      },
    },
  ],
  secret: process.env.NEXTAUTH_SECRET,
};

export default NextAuth(authOptions);

在OAuth客户端完成登录后重定向回网页时，终端抛出以下错误：

[next-auth][error][OAUTH_CALLBACK_ERROR]
https://next-auth.js.org/errors#oauth_callback_error failed to validate JWT signature {
  error: RPError: failed to validate JWT signature
      at Client.validateJWT (C:\Users\Julian\Desktop\OnlineOpptak\node_modules\openid-client\lib\client.js:1086:11)
      at process.processTicksAndRejections (node:internal/process/task_queues:95:5)
      at async Client.validateIdToken (C:\Users\Julian\Desktop\OnlineOpptak\node_modules\openid-client\lib\client.js:766:49)       
      at async Client.callback (C:\Users\Julian\Desktop\OnlineOpptak\node_modules\openid-client\lib\client.js:505:7)
      at async oAuthCallback (C:\Users\Julian\Desktop\OnlineOpptak\node_modules\next-auth\core\lib\oauth\callback.js:109:16)       
      at async Object.callback (C:\Users\Julian\Desktop\OnlineOpptak\node_modules\next-auth\core\routes\callback.js:52:11)
      at async AuthHandler (C:\Users\Julian\Desktop\OnlineOpptak\node_modules\next-auth\core\index.js:208:28)
      at async NextAuthApiHandler (C:\Users\Julian\Desktop\OnlineOpptak\node_modules\next-auth\next\index.js:22:19)
      at async NextAuth._args$ (C:\Users\Julian\Desktop\OnlineOpptak\node_modules\next-auth\next\index.js:108:14)
      at async Object.apiResolver (C:\Users\Julian\Desktop\OnlineOpptak\node_modules\next\dist\server\api-utils\node.js:366:9) {   
    name: 'OAuthCallbackError',
    code: undefined
  },
  providerId: 'ow4',
  message: 'failed to validate JWT signature'
}

查看报错的Node模块代码后，发现问题出在JWKS验证环节——遍历所有密钥都无法验证JWT签名，最终抛出错误：

for (const key of keys) {
  const verified = await jose
    .compactVerify(jwt, key instanceof Uint8Array ? key : await key.keyObject(header.alg))
    .catch(() => {});
  if (verified) {
    return {
      payload,
      protected: verified.protectedHeader,
      key,
    };
  }
}

throw new RPError({
  message: 'failed to validate JWT signature',
  jwt,
});

我对OAuth经验不足，不清楚该问题的含义，求解决方法。

可能的解决方法

检查OW4的JWKS端点有效性：直接访问OW4的JWKS地址（可从well-known配置链接里的jwks_uri字段获取），确认返回的密钥集格式正确，包含有效的公钥（比如kty为RSA、alg匹配ID Token使用的签名算法）。

手动指定JWKS端点：如果自动从wellKnown获取的JWKS有问题，可在OAuth provider配置中手动添加jwks_endpoint字段，直接指定正确的JWKS地址：

{
  id: "ow4",
  // ...其他配置
  wellKnown: "https://old.online.ntnu.no/openid/.well-known/openid-configuration",
  jwks_endpoint: "https://old.online.ntnu.no/openid/jwks.json", // 替换为实际JWKS地址
}

确认ID Token签名算法匹配：检查OW4返回的ID Token头部的alg字段，确认NextAuth使用的验证算法和提供商一致。若提供商使用非标准算法，可在配置中手动指定idTokenSigningAlg：
```
{
  id: "ow4",
  // ...其他配置
  idTokenSigningAlg: "RS256", // 替换为OW4实际使用的算法
}
```
临时禁用JWT签名验证（仅测试用）：若只是排查问题，可添加skipTokenValidation: true绕过签名验证，但此操作存在安全风险，绝对不能用于生产环境：
```
{
  id: "ow4",
  // ...其他配置
  skipTokenValidation: true,
}
```
检查环境变量正确性：确认OW_CLIENT_ID和OW_CLIENT_SECRET已正确配置，且与OW4后台的OAuth客户端信息完全一致，无拼写错误或额外空格。

内容的提问来源于stack exchange，提问作者Julian