在Rust中解码Azure JWT令牌遇InvalidAlgorithm错误的求助

问题根源 #

你用DecodingKey::from_secret()处理RS256算法的令牌是错误的——RS256是基于RSA的非对称加密算法，需要用公钥而非对称密钥（secret）验证解码。from_secret()仅适用于HMAC系列算法（如HS256），因此触发了算法不匹配的错误。

解决步骤 #

1. 获取Azure AD公钥 #

Azure AD会在https://login.microsoftonline.com/{tenant_id}/discovery/v2.0/keys提供公钥集，你需要从中匹配令牌kid字段对应的公钥，转换为PEM格式。

2. 修正解码代码 #

使用公钥创建DecodingKey，并配置符合Azure JWT要求的验证逻辑：

use jsonwebtoken::{decode, Algorithm, DecodingKey, TokenData, Validation};
use serde::Deserialize;

// 定义与Azure JWT payload匹配的Claims结构体
#[derive(Debug, Deserialize)]
struct Claims {
    sub: String,
    name: Option<String>,
    // 根据业务需求添加其他payload字段
}

fn main() {
    let jwt = "你的Azure JWT令牌内容";
    // 替换为从Azure AD获取的PEM格式公钥
    let public_key = r#"-----BEGIN PUBLIC KEY-----
    MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...（完整公钥内容）
    -----END PUBLIC KEY-----"#;

    // 解析RSA公钥生成DecodingKey
    let decoding_key = DecodingKey::from_rsa_pem(public_key.as_bytes())
        .expect("解析RSA公钥失败");

    // 配置验证规则，生产环境必须验证签名、受众和签发者
    let mut validation = Validation::new(Algorithm::RS256);
    validation.set_audience(&["你的应用client_id"]);
    validation.set_issuer(&["https://login.microsoftonline.com/{tenant_id}/v2.0"]);

    match decode::<Claims>(&jwt, &decoding_key, &validation) {
        Ok(data) => println!("解码成功: {:?}", data.claims),
        Err(e) => println!("解码失败: {:?}", e),
    }
}

3. 仅解码payload（跳过签名验证，不推荐生产环境） #

如果仅需提取payload无需验证签名，可以关闭相关验证，但生产环境禁止这么做：

let mut validation = Validation::new(Algorithm::RS256);
validation.insecure_disable_signature_validation();
// 可选关闭过期、生效时间验证
validation.validate_exp = false;
validation.validate_nbf = false;

注意事项 #

• 生产环境必须验证签名，防止伪造令牌
• 公钥可定期从Azure AD密钥端点获取并缓存，避免硬编码
• Claims结构体字段需与JWT payload字段一一对应，依赖serde::Deserialize派生

内容的提问来源于stack exchange，提问作者OddlyGhost