Laravel Socialite集成Apple登录遇Invalid JWT Signature错误求助

问题背景 #

使用Laravel 9 + Socialite 5.5对接Apple登录，通过API获取用户数据时持续收到「Invalid JWT Signature」错误，已参考多款教程实现但问题未解决。

排查与解决步骤 #

1. 核对Client Secret生成的核心参数 #

Client Secret的生成参数必须与Apple开发者后台完全一致，任何不匹配都会导致签名验证失败：

• team_id：确认是Apple开发者账号的Team ID（可在会员中心查看）
• client_id：必须和前端请求Apple授权时使用的Bundle ID/服务ID完全相同
• key_id：对应Apple后台生成的密钥ID（在「Certificates, Identifiers & Profiles」→「Keys」页面获取）
• 密钥文件：确保key.txt是从Apple后台下载的完整P8格式密钥，无多余空格、换行或格式损坏

可用的Client Secret生成代码

Ruby版本

require "jwt"

key_file = "key.txt"
team_id = "你的Team ID"
client_id = "你的Client ID"
key_id = "你的密钥ID"
validity_period = 180 # 最大180天，符合Apple官方限制

private_key = OpenSSL::PKey::EC.new IO.read key_file

token = JWT.encode(
 {
   iss: team_id,
   iat: Time.now.to_i,
   exp: Time.now.to_i + 86400 * validity_period,
   aud: "https://appleid.apple.com",
   sub: client_id
 },
 private_key,
  "ES256",
   header_fields=
   {
    kid: key_id 
   }
)
puts token

PHP版本

use Firebase\JWT\JWT;

public function createAppleClientSecret()
{
    $teamId = '你的Team ID';
    $keyId = '你的密钥ID';
    $sub = env('APPLE_CLIENT_ID');
    $aud = 'https://appleid.apple.com'; // Apple固定值，不可修改
    $iat = strtotime('now');
    $exp = strtotime('+180 days'); // 不超过Apple的180天限制

    $keyContent = file_get_contents(__DIR__ . '/../../../key.txt');
    // 确认密钥内容读取正常
    if (!$keyContent) {
        throw new \Exception("无法读取Apple密钥文件");
    }

    return JWT::encode([
        'iss' => $teamId,
        'iat' => $iat,
        'exp' => $exp,
        'aud' => $aud,
        'sub' => $sub,
    ], $keyContent, 'ES256', $keyId);
}

2. 验证JWT签名与时间参数 #

• 必须使用ES256算法，这是Apple强制要求的签名算法
• iat（签发时间）和exp（过期时间）必须为UTC时间戳，避免服务器时区偏差导致时间验证失败
• 确保exp不超过180天，超出会被Apple拒绝

3. 检查Socialite配置与调用逻辑 #

• 确认config/services.php中的Apple配置正确：

  'apple' => [
      'client_id' => env('APPLE_CLIENT_ID'),
      'client_secret' => env('APPLE_CLIENT_SECRET'),
      'redirect' => env('APPLE_REDIRECT_URI'),
  ],
  

• 调用userFromToken时，注意传递的是Apple返回的ID Token而非授权Code：
  • 如果拿到的是授权Code，需要先调用getAccessToken($code)获取Token，再调用用户信息
  • 直接使用ID Token时，先用JWT解析工具验证Token的签名、参数和有效期是否正常

4. 排查密钥文件读取问题 #

• 检查file_get_contents的文件路径是否正确，可通过var_dump($keyContent)确认是否读取到完整的密钥内容
• 确保Laravel进程有读取密钥文件的权限，避免因权限不足导致密钥读取失败

错误截图 #

内容的提问来源于stack exchange，提问作者Dirty Rex