Shopware 6.5.5新Storefront-App通信JWT令牌验证失败求助

核心问题：你的签名生成逻辑不符合JWT与Shopware的规范，主要是编码方式和拼接逻辑出错 #

以下是具体问题点及修正方案：

• 误用普通Base64而非Base64URL编码
  JWT的header和payload采用的是Base64URL编码（和普通Base64的区别：将+替换为-、/替换为_，去掉末尾的=填充符），你用普通Base64编码会直接导致签名完全不匹配。必须全程使用Base64URL处理header、payload及最终签名结果。

• 拼接逻辑错误
  正确的签名输入应为Base64URL(header) + "." + Base64URL(payload)，需确保是用点分隔的两个Base64URL字符串，而非单纯拼接编码结果。

• 密钥使用误区
  必须使用App注册时生成的appSecret（可在Shopware后台的App配置页查看），shopId不参与签名生成，无需尝试用它验证。确认你复制的appSecret无多余空格、大小写错误。

正确的验证步骤（伪代码示例） #

// 拆分请求头中的shopware-app-token
const tokenParts = shopwareAppToken.split('.');
if (tokenParts.length !== 3) {
  // 无效JWT格式
  return false;
}
const [encodedHeader, encodedPayload, receivedSignature] = tokenParts;

// 生成待签名字符串（直接用拆分出的Base64URL编码串拼接）
const signatureRaw = `${encodedHeader}.${encodedPayload}`;

// 用HMAC-SHA256加密后做Base64URL编码
const generatedSignature = base64urlEncode(hmacSha256(signatureRaw, appSecret));

// 严格对比签名（区分大小写）
return generatedSignature === receivedSignature;

额外注意事项 #

1. 确认header的alg字段为HS256，Shopware的JWT签名算法固定为HMAC-SHA256。
2. 处理header和payload时，不要手动修改原始JSON字符串（比如添加换行、空格），否则编码后会与Shopware生成的内容不一致。
3. 使用语言自带标准库处理Base64URL和HMAC加密，避免手动实现导致的错误（比如Node.js用crypto模块，PHP用base64url_encode和hash_hmac）。

内容的提问来源于stack exchange，提问作者realnaliboh