如何使用PKCS#8私钥签名JWT（Apple登录场景）

问题背景 #

我持有PKCS#8格式的ECDSA ES256私钥，需要用于生成Apple登录流程中向Apple服务器验证身份的JWT。目前已通过io.jsonwebtoken库实现签名，但尚未找到使用com.nimbusds（Nimbus-JOSE-JWT）库完成该功能的方法。

私钥格式如下：

-----BEGIN PRIVATE KEY-----
MIGTAgEAMBNGByqGSM49AgEGCCqGSM49AwEHBHkwdwIBAQQgtbN7M/7webqa1i3k
3UiwERpWUIoRj6nebM7yRyFphVWgCgYIKoHihj0DAQehRANCAAQl6Z+2bWXLgxJC
J2It6UNYSuxios4A1A6/7/7hNs0y3Yus53q6RD1snvMU5yTBewrRALyDz/8MNADm
eN7dRD41
-----END PRIVATE KEY-----

已实现的io.jsonwebtoken代码：

String token = Jwts.builder().signWith(getPrivateKey(), SignatureAlgorithm.ES256).compact();

private static PrivateKey getPrivateKey() {
    PrivateKey key = null;
    try (var pemParser = new PEMParser(privateKeyReader)) {
        var keyInfo = (PrivateKeyInfo) pemParser.readObject();
        key = new JcaPEMKeyConverter().getPrivateKey(keyInfo);      
    }
    return key;
}

解决方案 #

以下是使用Nimbus-JOSE-JWT库实现ES256签名的完整步骤：

1. 加载PKCS#8私钥

可复用现有密钥加载逻辑，或使用BouncyCastle工具类解析PEM格式密钥：

import org.bouncycastle.util.io.pem.PemObject;
import org.bouncycastle.util.io.pem.PemReader;
import java.io.FileReader;
import java.security.KeyFactory;
import java.security.PrivateKey;
import java.security.spec.PKCS8EncodedKeySpec;

private static PrivateKey loadPrivateKey(String keyFilePath) throws Exception {
    try (PemReader pemReader = new PemReader(new FileReader(keyFilePath))) {
        PemObject pemObject = pemReader.readPemObject();
        byte[] keyBytes = pemObject.getContent();
        
        PKCS8EncodedKeySpec spec = new PKCS8EncodedKeySpec(keyBytes);
        KeyFactory keyFactory = KeyFactory.getInstance("EC");
        return keyFactory.generatePrivate(spec);
    }
}

2. 构建并签名JWT

针对Apple登录场景构造符合要求的JWT声明，再使用ECDSA签名器完成签名：

import com.nimbusds.jose.JWSAlgorithm;
import com.nimbusds.jose.JWSHeader;
import com.nimbusds.jose.crypto.ECDSASigner;
import com.nimbusds.jwt.JWTClaimsSet;
import com.nimbusds.jwt.SignedJWT;
import java.util.Date;

public String generateAppleAuthJWT(PrivateKey privateKey, String appleTeamId, String clientId, String appleKeyId) throws Exception {
    // 构造JWS头，指定ES256算法和密钥ID
    JWSHeader jwsHeader = new JWSHeader.Builder(JWSAlgorithm.ES256)
            .keyID(appleKeyId)
            .build();

    // 构造Apple登录所需的JWT声明
    JWTClaimsSet claimsSet = new JWTClaimsSet.Builder()
            .issuer(appleTeamId)
            .subject(clientId)
            .audience("https://appleid.apple.com")
            .expirationTime(new Date(System.currentTimeMillis() + 3600 * 1000)) // 有效期1小时
            .issueTime(new Date())
            .build();

    // 创建待签名的JWT对象
    SignedJWT signedJWT = new SignedJWT(jwsHeader, claimsSet);

    // 使用ECDSA私钥签名
    ECDSASigner signer = new ECDSASigner(privateKey);
    signedJWT.sign(signer);

    // 返回序列化后的JWT字符串
    return signedJWT.serialize();
}

3. 调用示例

public static void main(String[] args) throws Exception {
    String keyPath = "/path/to/your/apple-auth-key.p8";
    PrivateKey privateKey = loadPrivateKey(keyPath);
    
    String teamId = "YOUR_APPLE_TEAM_ID";
    String clientId = "YOUR_APPLE_CLIENT_ID";
    String keyId = "YOUR_APPLE_KEY_ID";
    
    String jwt = generateAppleAuthJWT(privateKey, teamId, clientId, keyId);
    System.out.println("Generated JWT: " + jwt);
}

依赖说明 #

确保项目引入Nimbus-JOSE-JWT和BouncyCastle依赖（以Maven为例）：

<dependency>
    <groupId>com.nimbusds</groupId>
    <artifactId>nimbus-jose-jwt</artifactId>
    <version>9.37.3</version> <!-- 使用最新稳定版 -->
</dependency>
<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcprov-jdk15on</artifactId>
    <version>1.77</version> <!-- 使用最新稳定版 -->
</dependency>

内容的提问来源于stack exchange，提问作者MazeGen