使用RS256验证Google登录JWT时遇密钥错误的排查求助

出现JsonWebTokenError: secretOrPublicKey must be an asymmetric key when using RS256错误，通常是以下几个遗漏点导致：

• 未使用Google的非对称公钥验证
  RS256是基于非对称加密的算法，验证Google签发的JWT必须使用Google官方提供的公钥，而非普通字符串密钥。你可能直接传入了对称加密用的字符串，而非符合要求的公钥。
  可以借助jwks-rsa库自动获取并使用Google的公钥，示例代码：

const jwt = require('jsonwebtoken');
const jwksClient = require('jwks-rsa');

const client = jwksClient({
  jwksUri: 'https://www.googleapis.com/oauth2/v3/certs'
});

const getSigningKey = (header, callback) => {
  client.getSigningKey(header.kid, (err, key) => {
    const signingKey = key.getPublicKey();
    callback(null, signingKey);
  });
};

// 验证前端传来的credential
jwt.verify(
  req.body.credential,
  getSigningKey,
  { algorithms: ['RS256'] },
  (err, decoded) => {
    if (err) {
      // 处理验证失败逻辑
      return;
    }
    // 验证成功，处理decoded内容
  }
);

• 公钥格式不符合要求
  如果手动获取Google公钥，必须确保是完整的PEM格式（包含-----BEGIN PUBLIC KEY-----和-----END PUBLIC KEY-----头部、尾部），缺失格式或格式错误会被判定为无效的非对称密钥。

• 未显式指定验证算法
  调用jwt.verify时如果没有明确传入algorithms: ['RS256']参数，库可能默认使用对称加密逻辑验证，此时即使传入公钥也会触发错误，必须显式指定算法为RS256。

内容的提问来源于stack exchange，提问作者avi