HAProxy jwt_verify()始终返回Unknown Certificate(-5)求助

HAProxy 2.8调用jwt_verify()验证微软签发的JWT时返回错误码-5（Unknown Certificate），但JWT在本地验证有效，且HAProxy能正确解析JWT的aud、kid等字段，说明令牌解析环节正常，问题出在证书验证逻辑上。

1. 直接使用完整X.509证书而非提取的公钥 #

HAProxy的jwt_verify()对RS256算法的验证，优先支持完整X.509证书文件，仅提取公钥会丢失证书内的密钥标识符（kid）匹配信息、证书链元数据等关键验证要素。

• 把从JWKS的x5c字段获取的完整证书（包含-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----）直接保存为/usr/local/haproxy/jwt.pem，无需执行openssl x509 -pubkey提取公钥。
• 重启HAProxy后重新测试。

2. 确认证书路径与权限 #

再次验证容器内证书的可访问性：

• 检查文件存在：docker exec <容器ID> ls -l /usr/local/haproxy/jwt.pem
• 设置正确权限：

  docker exec <容器ID> chown haproxy:haproxy /usr/local/haproxy/jwt.pem
  docker exec <容器ID> chmod 644 /usr/local/haproxy/jwt.pem
  

3. 验证JWT的kid与证书SKID匹配 #

微软JWT的kid必须对应证书的主题密钥标识符（SKID），HAProxy会默认校验该匹配关系：

1. 提取证书的SKID：

   openssl x509 -in x5c.pem -noout -text | grep -A2 "Subject Key Identifier"
   

2. 将JWT的kid（日志中为o1ynZps8fCXTIjCPtBR0x）从Base64URL编码转为十六进制，与SKID对比：

   echo -n "o1ynZps8fCXTIjCPtBR0x" | base64 -d | xxd -p
   

   若两者不匹配，需从JWKS中找到对应kid的x5c证书。

4. 调整jwt_verify的调用方式 #

当前配置中通过变量传递算法，可尝试直接硬编码算法避免变量传递问题：

http-request set-var(txn.verify) http_auth_bearer,jwt_verify("RS256","/usr/local/haproxy/jwt.pem"),debug('VERIFY',stdout)

5. 开启详细调试日志 #

修改HAProxy全局日志配置，获取更细粒度的验证过程日志：

global
    log stdout format raw local0 debug
    # 保留原有全局配置...

重启后观察日志，定位证书加载、验证阶段的具体错误。

调整完成后，用以下命令重新测试：

curl -H "Authorization: Bearer <你的JWT令牌>" http://api.myapiserver.com/目标接口

查看HAProxy日志，确认jwt_verify返回值是否变为1。

内容的提问来源于stack exchange，提问作者Richard Cross