RS256签名JWT验证耗时真的需要半秒钟吗？

你的问题核心在于计时范围包含了密钥解析的开销，而资料中提到的"亚毫秒级"指的是单纯的签名验证步骤，不包含密钥解析这类前置操作。以下是具体分析和优化方案：

1. 拆分计时，定位耗时环节 #

你当前的代码把密钥解析和签名验证的耗时算在了一起，这会导致你误以为验证本身很慢。先拆分计时，明确哪一步占用了大部分时间：

import rs from 'jsrsasign';

// [...]

// 单独统计密钥解析耗时
const keyParseStart = Date.now();
const keyObject = rs.KEYUTIL.getKey(jwks.keys[0]);
console.log('密钥解析耗时:', Date.now() - keyParseStart); // 这一步通常占400ms左右

// 单独统计签名验证耗时
const verifyStart = Date.now();
const isValid = rs.jws.JWS.verifyJWT(clientToken, keyObject, { alg: ['RS256'] });
console.log('签名验证耗时:', Date.now() - verifyStart); // 复用密钥后会降到亚毫秒级

if (!isValid) {
  throw new Error('Token is not valid');
}

2. 缓存已解析的密钥对象 #

每次验证都重新解析JWKS密钥是最大的性能浪费。解析密钥涉及ASN.1解码、格式转换等操作，首次执行确实耗时，但复用解析后的密钥对象就能让验证速度达到预期的亚毫秒级。可以用全局变量或缓存工具缓存密钥：

import rs from 'jsrsasign';

// 全局缓存解析后的密钥对象
let cachedPublicKey = null;

function validateJWT(clientToken) {
  // 仅在首次验证或JWKS更新时重新解析密钥
  if (!cachedPublicKey) {
    cachedPublicKey = rs.KEYUTIL.getKey(jwks.keys[0]);
  }

  const verifyStart = Date.now();
  const isValid = rs.jws.JWS.verifyJWT(clientToken, cachedPublicKey, { alg: ['RS256'] });
  console.log('签名验证耗时:', Date.now() - verifyStart); // 此时耗时会在1ms以内

  if (!isValid) {
    throw new Error('Token is not valid');
  }
}

3. 对"亚毫秒级"验证的正确理解 #

资料中提到的"亚毫秒级"，特指已完成密钥解析后，单纯验证JWT签名的过程。密钥解析、网络拉取JWKS（如果是远程获取）等前置操作不属于这个范畴，这些步骤本身就需要一定时间，尤其是首次执行时。

内容的提问来源于stack exchange，提问作者Joel