CakePHP中使用Microsoft JWKS公钥验证JWT签名失败

核心解决方案 #

你的问题大概率出在密钥匹配错误或者手动处理密钥的方式不当，以下是针对性修正步骤：

1. 不要手动转换JWK到PEM：Firebase JWT的JWK::parseKeySet已能直接处理Azure的JWKS，无需手动补alg或转格式，只需根据JWT头部的kid字段匹配对应公钥即可。
2. 必须验证JWT核心声明：Azure AD的JWT需要验证iss、aud、exp等字段，部分情况下库会将声明验证失败统一返回为「签名失败」，容易造成误导。
3. 确保密钥与JWT的kid匹配：Azure AD会轮换密钥，每个JWT头部的kid对应JWKS里的一个密钥，必须使用对应kid的密钥验证。

修正后的代码示例 #

use Firebase\JWT\JWT;
use Firebase\JWT\JWK;
use Firebase\JWT\Key;
use Cake\Network\Exception\UnauthorizedException;
use Cake\Log\Log;

$accessToken = $request->getHeaderLine('Authorization');
$accessToken = str_replace('Bearer ', '', $accessToken);

if (empty($accessToken)) {
    throw new UnauthorizedException('No token provided');
}

// 解析JWT头部获取kid
$jwtParts = explode('.', $accessToken);
if (count($jwtParts) !== 3) {
    throw new UnauthorizedException('Invalid token format');
}
// 处理Base64URL编码的头部
$jwtHeader = json_decode(base64_decode(strtr($jwtParts[0], '-_', '+/')), true);
if (!isset($jwtHeader['kid'])) {
    throw new UnauthorizedException('Token missing kid header');
}
$kid = $jwtHeader['kid'];

try {
    $jwksUri = 'https://login.microsoftonline.com/{tenant-id}/discovery/v2.0/keys'; 
    $jwksJson = file_get_contents($jwksUri);
    if ($jwksJson === false) {
        throw new UnauthorizedException('Failed to fetch JWKS');
    }
    $jwks = json_decode($jwksJson, true);
    $keys = JWK::parseKeySet($jwks);

    // 匹配对应kid的密钥
    if (!isset($keys[$kid])) {
        throw new UnauthorizedException('No matching key found for token kid');
    }
    $key = $keys[$kid];

    // 配置验证选项，必须准确填写Azure的iss和aud
    $options = [
        'iss' => 'https://login.microsoftonline.com/{tenant-id}/v2.0',
        'aud' => '{your-client-id}', // 你的应用在Azure中的客户端ID
        'algorithms' => ['RS256'],
    ];

    $decodedToken = JWT::decode($accessToken, $key, $options);
} catch (\Exception $e) {
    Log::error('JWT verification failed: ' . $e->getMessage());
    throw new UnauthorizedException('Invalid token: ' . $e->getMessage());
}

解答你的疑问 #

1. JWK转PEM的方式是否正确？
   手动转换极易出错，比如换行符处理、Base64编码格式不匹配等。Azure的JWKS密钥是标准RSA公钥，Firebase的JWK::parseKeySet可直接解析，无需手动转PEM；你之前手动补alg的操作也无必要，库会根据密钥类型自动识别算法。

2. Azure AD的JWT与PHP库是否存在已知兼容问题？
   无普遍兼容问题，但需注意两点：一是Azure AD的JWT使用RS256算法，必须用对应RSA公钥验证；二是Azure的iss声明格式为https://login.microsoftonline.com/{tenant-id}/v2.0，必须准确配置到验证选项中，否则会导致验证失败（部分场景下库会将此错误返回为「签名失败」）。

3. Azure AD签发JWT的方式是否可能存在问题？
   大概率不是Azure的问题，你可以用jwt.io验证时重点检查：

   • JWT是否完整，无空格或截断
   • 选择「RS256」算法，直接粘贴JWKS中对应kid的密钥JSON（而非手动转换的PEM）
   • 确认JWT的exp未过期、iss和aud与你的应用配置一致

内容的提问来源于stack exchange，提问作者Rick Grimes