Node.js后端用jsonwebtoken验证Auth0 Token遇JsonWebTokenError问题

问题根源 #

出现这个错误是因为后端加载的公钥格式不符合要求，jsonwebtoken无法将其识别为RS256算法所需的有效非对称密钥。

修复步骤 #

1. 正确生成公钥 #

从Auth0控制台下载证书后，需要通过openssl将其转换为标准PEM格式的公钥：

openssl x509 -in auth0-certificate.pem -pubkey -noout > public.key

打开生成的public.key，确认内容包含完整的头部和尾部标记：

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...
...（密钥主体内容）
...
-----END PUBLIC KEY-----

2. 正确配置环境变量 #

将公钥写入.env文件时，必须完整保留格式，用双引号包裹多行内容，避免换行丢失：

PUBKEY="-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...
...
-----END PUBLIC KEY-----"

可以在后端代码中先打印公钥，确认是否完整加载：

console.log('Loaded Public Key:', PUBKEY);

3. 优化后端验证代码 #

改用异步方式处理验证逻辑，同时完善参数校验：

routerGetTickets.post('/', async (req, res) => {
    const PUBKEY = process.env.PUBKEY;
    const token = req.headers.authorization?.split(' ')[1];

    if (!token || !PUBKEY) {
        return res.sendStatus(401);
    }

    try {
        const decoded = await jwt.verify(token, PUBKEY, { algorithms: ['RS256'] });
        console.log('Token verified:', decoded);
        console.log('everything ok');
        // 后续业务逻辑
        res.sendStatus(200);
    } catch (err) {
        console.log('Verification error:', err);
        res.sendStatus(403);
    }
});

4. 前端Audience配置修正 #

你当前Auth0Provider的audience设置的是Auth0管理API，若要验证自己的后端API，需替换为Auth0控制台创建的自定义API的Audience，同时前端获取token时指定该audience：

async function getTickets() {
    const token = await getAccessTokenSilently({
        audience: 'https://your-custom-api-audience.com' // 替换为你的API Audience
    });
    // 后续请求代码不变
}

内容的提问来源于stack exchange，提问作者dandomin