在jwt.io验证Keycloak返回的JWT ID Token时签名无效求助

• 检查JWT复制完整性
  确认从Wireshark捕获的JWT是完整的三段式（Header.Payload.Signature），无截断、换行或多余空格。Wireshark可能会将长JWT拆分为多个数据包，需确保拼接完整；建议直接导出Wireshark中的JWT原始内容，避免手动复制时误删字符。

• 验证公钥格式与匹配性
  Keycloak公钥需为PEM格式（带-----BEGIN PUBLIC KEY-----和-----END PUBLIC KEY-----头尾），若复制的是JWKS格式公钥，需转换为PEM后再粘贴到jwt.io；同时核对公钥的kid值，必须与JWT Header中的"kid": "7XhgKPveGhbP7Dz0R6cca5z8AuFLqieslTFFInNw4-w"完全一致，确保选中了对应密钥对的公钥。

• 排查Base64URL编码问题
  JWT三段均使用Base64URL编码（替换+为-、/为_，去掉末尾=），可手动验证签名段：

  1. 取出Signature段，补充=使其长度为4的倍数（如长度模4余1补3个=，余2补2个=，余3补1个=）
  2. 替换-为+、_为/转成标准Base64后解码，再用公钥验证签名是否匹配
     若手动验证通过，可尝试用本地工具（如OpenSSL）验证：

  # 替换Header.Payload为实际JWT的前两段，public_key.pem为本地公钥文件路径
  echo -n "Header.Payload" | openssl dgst -sha256 -verify public_key.pem -signature <(echo "Signature" | base64url -d)
  

• 检查Keycloak配置
  确认Keycloak客户端配置中Access Token Signature Algorithm设置为RS256；通过Keycloak控制台Realm Settings > Keys查看密钥状态，确保当前使用的密钥对有效、未过期或被替换。

• 排查Wireshark解密问题
  若JWT通过HTTPS传输，需配置SSL密钥日志（NSS_KEYLOG_FILE）让Wireshark正确解密流量，避免捕获到加密后的乱码内容。

内容的提问来源于stack exchange，提问作者S V