JWT令牌验证返回null问题排查求助

结合你描述的场景（请求头传递正常、verify/decode前输出符合预期），以下是几个高频排查方向：

• 签名算法不匹配
  生成JWT时使用的算法（比如HS256）和验证时指定的算法必须完全一致。如果生成时用了RS256（非对称加密）但验证时用了HS256（对称加密），或者反过来，必然会导致验证失败返回null。检查生成与验证环节的算法参数是否统一，示例如下：

  // 生成JWT时指定算法
  Jwts.builder().signWith(SignatureAlgorithm.HS256, secretKey)
  // 验证时必须对应相同算法
  Jwts.parser().setSigningKey(secretKey).parseClaimsJws(token)
  

• 密钥格式或编码不一致
  部分JWT库要求密钥使用Base64解码后的字节数组，若生成时用了解码后的密钥，验证时却直接用原始字符串，会导致匹配失败。示例：

  // 生成时用了解码后的密钥
  const secret = Buffer.from('your-static-secret', 'base64');
  // 错误：验证时直接用原始字符串
  jwt.verify(token, 'your-static-secret'); 
  

  确认生成和验证环节使用的是完全相同的字节序列。

• JWT令牌损坏或未正确解码
  即使请求头传递正常，也可能存在令牌被URL转义（比如携带%2B这类字符）、截断的情况。可以手动用JWT解码工具验证令牌结构，确认Payload和Signature部分完整，后端验证前需先对令牌做URL解码处理。

• 库的API使用错误
  不同JWT库的verify方法参数要求不同，部分库必须显式指定算法，否则会默认使用不安全的none算法导致验证失败。以jsonwebtoken库为例：

  // 正确：显式指定算法
  jwt.verify(token, secret, { algorithms: ['HS256'] });
  // 错误：未指定算法，可能触发异常逻辑
  jwt.verify(token, secret);
  

  核对所用库的官方文档，确认verify方法参数传递正确。

• Claims验证未通过
  部分库在令牌过期、签发者（iss）不匹配等Claims验证失败时，会返回null而非抛出异常。检查令牌中的exp（过期时间）、iss（签发者）等字段是否符合验证逻辑要求。

优先从签名算法匹配和密钥一致性入手排查，这是最常见的问题根源。若仍无法解决，可贴出生成与验证JWT的核心代码，方便进一步定位。

内容的提问来源于stack exchange，提问作者Jon Joslin