如何使用含特殊字符的Auth0 JWT Token完成CouchDB认证？

核心问题 #

Auth0生成的JWT中sub字段格式为auth0|<some_id>，包含CouchDB不支持的|字符，导致无法创建对应用户名或分配数据库权限，进而出现权限错误。

可行解决办法 #

方法1：生成自定义合法用户标识，修改CouchDB认证字段 #

1. 在Auth0中添加规则生成合法用户字段
   登录Auth0控制台进入「Rules」页面，创建新规则并添加以下代码，将sub中的|替换为_，生成符合CouchDB要求的用户名并加入Token：

   function (user, context, callback) {
     const couchdbUserId = user.sub.replace('|', '_');
     context.idToken['couchdb_user'] = couchdbUserId;
     callback(null, user, context);
   }
   

   保存后，新生成的JWT会包含couchdb_user字段，值为auth0_640...cd8这类合法格式。

2. 修改CouchDB配置，指定使用自定义字段作为用户名
   编辑CouchDB的配置文件（如local.ini），在[jwt_auth]段中添加或修改：

   [jwt_auth]
   enabled = true
   secret = <你的Auth0签名密钥>
   username_claim = couchdb_user
   

   替换<你的Auth0签名密钥>为实际的Auth0公钥或对称密钥，确保CouchDB能验证JWT签名。

3. 创建对应用户并分配权限
   在CouchDB中创建与couchdb_user字段值一致的用户，将其添加到目标数据库的成员列表中即可。

方法2：基于角色权限控制，绕过用户名匹配 #

如果无需绑定具体用户名，可通过角色直接控制数据库访问：

1. 在Auth0中给JWT添加角色字段
   在Auth0规则中添加代码，将角色信息加入Token：

   function (user, context, callback) {
     // 根据实际业务逻辑设置用户对应的角色
     context.idToken['roles'] = ['db_access'];
     callback(null, user, context);
   }
   

2. 配置CouchDB使用角色字段
   修改CouchDB的local.ini：

   [jwt_auth]
   enabled = true
   secret = <你的Auth0签名密钥>
   roles_claim = roles
   

3. 给数据库配置角色权限
   在目标数据库的安全设置中，将db_access角色添加到成员或管理员列表，只要JWT包含该角色，即可访问数据库，无需创建对应用户名。

内容的提问来源于stack exchange，提问作者evandor