Next.js中无法验证Spring Boot生成的JWT问题求助

Spring Security 6生成JWT时，会先对配置的SECRET_KEY进行BASE64解码，再用解码后的字节数组生成HMAC-SHA256密钥签名。Next.js中验证时必须匹配这一逻辑，以下是两种可行方案：

方案一：使用jsonwebtoken库 #

这是最简便的方式，只需注意密钥的处理要和Spring保持一致：

1. 安装依赖

npm install jsonwebtoken
# 或
yarn add jsonwebtoken

2. 验证代码

import jwt from 'jsonwebtoken';

// 替换为你Spring配置中的SECRET_KEY（原始BASE64字符串）
const SPRING_SECRET_KEY = 'your-base64-encoded-secret-key';

export function verifyAuthToken(token) {
  try {
    // 对密钥进行BASE64解码，得到与Spring一致的字节数组
    const decodedSecret = Buffer.from(SPRING_SECRET_KEY, 'base64');
    // 指定HS256算法，避免算法劫持风险
    const payload = jwt.verify(token, decodedSecret, { algorithms: ['HS256'] });
    return { valid: true, payload };
  } catch (err) {
    return { valid: false, error: err.message };
  }
}

方案二：使用Node.js内置crypto模块 #

无需额外依赖，手动实现JWT签名验证逻辑：

import crypto from 'crypto';

const SPRING_SECRET_KEY = 'your-base64-encoded-secret-key';

export function verifyTokenWithCrypto(token) {
  try {
    // 拆分JWT的header、payload、signature三部分
    const [headerB64, payloadB64, signatureB64] = token.split('.');

    // JWT使用URL安全的BASE64，需要转换为标准BASE64再解码
    const decodeUrlSafeBase64 = (str) => {
      const standardB64 = str.replace(/-/g, '+').replace(/_/g, '/');
      return Buffer.from(standardB64, 'base64');
    };

    // 构造签名原始数据：header.payload
    const signatureRaw = `${headerB64}.${payloadB64}`;
    // 解码密钥，与Spring生成密钥的逻辑对齐
    const decodedSecret = Buffer.from(SPRING_SECRET_KEY, 'base64');

    // 计算HMAC-SHA256签名，并转换为JWT的URL安全格式
    const computedSignature = crypto
      .createHmac('sha256', decodedSecret)
      .update(signatureRaw)
      .digest('base64')
      .replace(/\+/g, '-')
      .replace(/\//g, '_')
      .replace(/=/g, ''); // JWT会移除末尾的填充等号

    // 校验签名一致性
    if (computedSignature !== signatureB64) {
      return { valid: false, error: '签名验证失败' };
    }

    // 解析并校验过期时间
    const payload = JSON.parse(decodeUrlSafeBase64(payloadB64).toString('utf8'));
    if (Date.now() > payload.exp * 1000) {
      return { valid: false, error: 'Token已过期' };
    }

    return { valid: true, payload };
  } catch (err) {
    return { valid: false, error: err.message };
  }
}

关键注意事项 #

• 确保SPRING_SECRET_KEY与Spring配置中的完全一致，不要包含多余的空格或换行符
• 必须显式指定算法为HS256，避免潜在的算法劫持漏洞
• 在Next.js API路由或Server Components中使用时，可直接调用上述函数处理JWT验证

内容的提问来源于stack exchange，提问作者Nedim