验证WSO2 AM生成的JWT时遇InvalidKeyException的解决方法

错误原因 #

该错误是因为你从wso2carbon.jks提取的公钥格式不符合Java RSA密钥工厂要求的X.509编码格式，常见问题包括：

• 直接导出的不是标准PEM格式公钥
• 公钥字符串缺少-----BEGIN PUBLIC KEY-----/-----END PUBLIC KEY-----标识
• Base64编码内容存在多余换行或无效字符

解决步骤 #

1. 正确从JKS提取标准PEM格式公钥 #

不要直接从JKS提取原始公钥字符串，通过证书中转导出：

• 用keytool从JKS导出证书：

  keytool -export -alias wso2carbon -file wso2carbon.crt -keystore wso2carbon/wso2am-3.2.0/repository/resources/security/wso2carbon.jks -storepass wso2carbon
  

  默认密钥库密码为wso2carbon，若已修改请替换对应密码
• 用openssl从证书提取PEM格式公钥：

  openssl x509 -in wso2carbon.crt -pubkey -noout > publickey.pem
  

  生成的publickey.pem会包含正确的头尾标识和编码格式。

2. 在Java代码中正确加载公钥 #

确保代码处理公钥的逻辑符合格式要求：

import java.nio.file.Files;
import java.nio.file.Paths;
import java.security.KeyFactory;
import java.security.PublicKey;
import java.security.spec.X509EncodedKeySpec;
import java.util.Base64;

public class JwtValidator {
    public static void main(String[] args) throws Exception {
        String accessToken = "你的WSO2 AM生成的JWT令牌";
        // 读取PEM公钥文件
        String publicKeyPem = new String(Files.readAllBytes(Paths.get("publickey.pem")));
        
        // 清理公钥格式：去掉头尾标识和空白字符
        publicKeyPem = publicKeyPem.replace("-----BEGIN PUBLIC KEY-----", "")
                                   .replace("-----END PUBLIC KEY-----", "")
                                   .replaceAll("\\s", "");
        
        // 解码Base64并生成公钥
        byte[] keyBytes = Base64.getDecoder().decode(publicKeyPem);
        X509EncodedKeySpec keySpec = new X509EncodedKeySpec(keyBytes);
        KeyFactory keyFactory = KeyFactory.getInstance("RSA");
        PublicKey publicKey = keyFactory.generatePublic(keySpec);
        
        // 添加JWT验证逻辑，例如用JJWT库
        // Jwts.parserBuilder().setSigningKey(publicKey).build().parseClaimsJws(accessToken);
    }
}

3. 简化方案：使用JJWT库处理公钥 #

若不想手动处理格式，直接用JJWT库可自动解析PEM格式公钥：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.security.Keys;

// 直接传入包含头尾标识的PEM格式公钥字符串
PublicKey publicKey = Keys.publicKeyFromPem(publicKeyPem.getBytes());
Jwts.parserBuilder()
    .setSigningKey(publicKey)
    .build()
    .parseClaimsJws(accessToken);

内容的提问来源于stack exchange，提问作者Luigi