使用SubtleCrypto生成RSA密钥时公钥指数验证异常排查

使用Web Crypto API的SubtleCrypto接口生成RSA私钥，在验证步骤中手动计算的公钥指数有50%概率与JWK中的e不一致，该问题在Chrome、Edge、Firefox浏览器中均存在。

关键验证代码片段：

// 从JWK转换得到BigInt格式的参数
const pubExp = modInverse(jwk.d, (jwk.p - 1n) * (jwk.q - 1n));
const isExpValid =  jwk.e === pubExp;
const isModulusValid =  jwk.n === jwk.p * jwk.q;

验证逻辑存在两个核心错误：

1. 模逆元的等价性理解错误：
   根据RSA定义，私钥指数d满足 d ≡ e⁻¹ mod φ(n)（其中φ(n)=(p-1)(q-1)），反过来e ≡ d⁻¹ mod φ(n)是模φ(n)下的同余关系，而非直接的数值相等。浏览器生成的e是你指定的65537，但通过modInverse(d, φ(n))计算出的结果可能是e + k*φ(n)（k为整数），此时用===直接比较数值必然会失败。
2. 注释错误（不影响功能但易误导）：
   你写的publicExponent: new Uint8Array([0x01, 0x00, 0x01])是大端字节序的65537，不是小端，Web Crypto要求公钥指数以大端字节序传入，代码本身是正确的，但注释描述错误。

修改验证逻辑，将直接数值比较改为模φ(n)下的同余验证，这才是RSA参数正确性的核心判断标准：

function jwkValidator(jwk) {
    const phi = (jwk.p - 1n) * (jwk.q - 1n);
    // 核心验证：e*d ≡ 1 mod φ(n)，这是RSA密钥对的本质条件
    const isExpValid = (jwk.e * jwk.d) % phi === 1n;
    // 验证模数正确性（乘法交换律，p*q和q*p结果一致）
    const isModulusValid = jwk.n === jwk.p * jwk.q;

    console.log('public exp valid', isExpValid);
    console.log('n == p * q', isModulusValid);

    if (isExpValid && isModulusValid) {
        return {
            modulus: jwk.n.toString(16),
            p: jwk.p.toString(16),
            q: jwk.q.toString(16),
            privateExponent: jwk.d.toString(16)
        };
    } else {
        retries--;
        if (retries > 0) {
            console.log('Retrying generation...');
            return generateJWK().then(jwkValidator);
        } else {
            return onError;
        }
    }
}

内容的提问来源于stack exchange，提问作者Andrey Brill