Rails/React项目Devise登录报错JWT::DecodeError：OpenSSL3.0不支持空密钥

这个错误的核心原因是Devise JWT的HMAC密钥未配置或为空，OpenSSL 3.0对空密钥的校验比旧版本更严格，导致解码时触发错误。以下是具体解决步骤：

1. 检查并配置Devise JWT密钥 #

打开config/initializers/devise.rb，确保已正确设置JWT密钥：

• 如果你使用的是devise-jwt gem，找到或添加JWT配置块：

  config.jwt do |jwt|
    # 优先从环境变量获取密钥，也可用Rails credentials存储
    jwt.secret = ENV['DEVISE_JWT_SECRET_KEY'] || Rails.application.credentials.devise_jwt_secret_key
    # 按需添加其他JWT配置，比如过期时间
    # jwt.expiration_time = 3600
  end
  

• 若使用旧版devise-jwt，配置方式为：

  config.jwt_secret_key = ENV['DEVISE_JWT_SECRET_KEY']
  

2. 生成安全的JWT密钥 #

运行Rails命令生成随机安全密钥：

rails secret

将生成的字符串配置到环境变量中：

• 开发环境：在项目根目录的.env文件中添加（需安装dotenv-rails gem）：

  DEVISE_JWT_SECRET_KEY=你的随机密钥
  

• 生产环境：通过服务器环境变量配置（如Heroku的config vars，或服务器系统环境变量）。

3. 验证配置是否生效 #

重启Rails服务器后，打开rails控制台检查密钥是否存在：

puts Devise.jwt_secret_key

输出非空字符串则配置成功；若输出nil，检查环境变量是否正确加载，或配置代码是否有误。

4. 确保devise-jwt版本兼容OpenSSL 3.0 #

更新Gemfile中的devise-jwt到最新稳定版，避免旧版本兼容性问题：

gem 'devise-jwt', '~> 0.11.0' # 替换为当前最新版

运行bundle install更新依赖。

前端请求辅助检查 #

确认Login.js中登录成功后，是否正确接收后端返回的JWT，并在后续请求的Authorization头中携带Bearer {token}：

// 登录成功后存储token示例
axios.post('/api/login', credentials)
  .then(res => {
    localStorage.setItem('jwtToken', res.data.token);
  });

// 后续请求携带token示例
axios.get('/api/resource', {
  headers: {
    'Authorization': `Bearer ${localStorage.getItem('jwtToken')}`
  }
});

内容的提问来源于stack exchange，提问作者CoolGuy