PyJwt解析Azure AD令牌报错：无法反序列化RSA密钥数据

你的问题根源在于手动处理公钥格式时的冗余操作，以及对PyJwt验证流程的不当配置。以下是直接可行的解决方案：

核心问题分析 #

1. 你手动从x5c证书链导出PEM公钥后，错误添加额外填充破坏了PEM的合法格式，导致OpenSSL无法解析。
2. 调用jwt.decode时设置verify=False会跳过所有验证（包括签名验证），此时传入的key参数完全无效，违背了令牌验证的初衷。
3. 直接解析JWKS并手动匹配密钥易出错，PyJwt已提供专门工具类处理这类场景。

修正后的完整代码 #

import jwt
from jwt import PyJWKClient
from flask import request, app_config

@app.route('/api/secure')
def secure_endpoint():
    # 安全处理Authorization头，避免无值或格式错误
    auth_header = request.headers.get('Authorization')
    if not auth_header or not auth_header.startswith('Bearer '):
        return {'error': 'Invalid Authorization header'}, 401
    
    access_token = auth_header.split('Bearer ')[1]
    jwks_uri = 'https://login.microsoftonline.com/common/discovery/v2.0/keys'
    
    # 使用PyJWKClient自动获取并匹配对应密钥
    jwks_client = PyJWKClient(jwks_uri)
    signing_key = jwks_client.get_signing_key_from_jwt(access_token)
    
    # 正确配置验证参数，开启所有必要验证（不要设verify=False）
    try:
        token_claims = jwt.decode(
            jwt=access_token,
            key=signing_key.key,
            audience=app_config.CLIENT_ID,
            algorithms=['RS256'],
            options={
                'verify_aud': True,  # 建议开启受众验证，符合安全规范
                'require_sub': True
            }
        )
        print(token_claims)
        return token_claims, 200
    except jwt.InvalidTokenError as e:
        return {'error': f'Invalid token: {str(e)}'}, 401

关键改进点 #

• 用PyJWKClient简化密钥管理：自动从JWKS URI获取对应kid的密钥，无需手动解析x5c证书、转换PEM格式，彻底避免格式错误。
• 安全处理请求头：增加对Authorization头的合法性判断，防止空值或格式错误导致的异常。
• 启用正确的验证逻辑：移除verify=False，确保签名、受众等验证生效，符合Azure AD令牌验证的安全要求。
• 异常捕获：捕获InvalidTokenError，返回清晰的错误信息，便于调试。

为什么之前的填充操作会出错 #

从x509证书导出的PEM公钥已经是标准格式，额外添加==填充会破坏公钥的Base64编码结构，导致OpenSSL无法识别密钥数据，进而抛出解析错误。

内容的提问来源于stack exchange，提问作者Sujeet Kumar