Spring Boot中JwtParser验证JwtBuilder生成的Token签名失败求助

架构老林

2026-7-18

问题排查与解决方案

1. 修复GrantedAuthority序列化问题

你在createToken中直接将userDetails.getAuthorities()存入claim，而GrantedAuthority是接口，默认Jackson序列化会将其转为包含authority字段的对象集合。JJWT生成Token时的Payload序列化结果，和解析时的反序列化逻辑可能存在差异，导致签名计算的原始Payload不一致，最终触发签名不匹配。

修改代码，将权限转换为字符串集合后存入：

.claim("authorities", userDetails.getAuthorities().stream()
    .map(GrantedAuthority::getAuthority)
    .collect(Collectors.toList()))

2. 显式指定签名算法

虽然JJWT会根据密钥自动匹配算法，但显式指定可避免潜在的算法不一致问题。在生成Token时明确指定HS256算法：

.signWith(jwtSigningKey, SignatureAlgorithm.HS256)

3. 验证Token传输完整性

检查前后端传输的Token是否完全一致：

后端生成Token后，打印完整的Token字符串；
前端接收后，在控制台打印Token；
后端接收请求时，先打印接收到的Token，对比是否和生成的完全相同（注意不要有空格、换行或URL编码/解码错误）。

如果发现Token被篡改，排查前端存储、传输逻辑，或后端拦截器/过滤器是否修改了Token内容。

4. 规范密钥初始化逻辑

将构造函数中的密钥生成逻辑移到@PostConstruct方法中，避免构造函数抛出检查型异常导致的潜在问题：

@Component
public class JwtUtils {
  private SecretKey jwtSigningKey;

  @PostConstruct
  public void initJwtSigningKey() {
    try {
      KeyGenerator keyGenerator = KeyGenerator.getInstance("HmacSHA256");
      keyGenerator.init(SecureRandom.getInstanceStrong());
      jwtSigningKey = keyGenerator.generateKey();
    } catch (NoSuchAlgorithmException e) {
      throw new RuntimeException("Failed to initialize JWT signing key", e);
    }
  }

  // 其他方法保持不变
}