咨询RSA私钥共享合规性及求Java生成RSA签名JWT示例

云上老周

2026-5-7

1. 共享RSA私钥是否合规？

绝对不合规，这是严重的安全风险。RSA私钥是签名机制的核心凭证，按照安全规范只能由密钥归属方（这里即你的客户）严格保密保管。如果客户将私钥共享给你方，会引发一系列致命问题：

任何获取到该私钥的主体都能伪造合法的JWT签名，冒充你方发起请求，直接导致身份伪造、敏感数据泄露或业务被恶意篡改；
彻底违背了公钥基础设施（PKI）的安全原则，私钥泄露会完全破坏基于RSA签名的信任体系；
一旦发生安全事故，双方的责任界定会极其模糊，都可能面临合规层面的追责。

正确的替代方案：

由你方生成专属的RSA密钥对，将公钥提供给客户；你方用自身私钥生成JWT签名，客户用你方公钥验证签名有效性；
如果客户要求JWT必须使用他们的密钥签名，应该由客户自行完成签名操作，你方仅负责构造JSON载荷并传递给客户，再使用客户签名后的JWT发起请求。

2. Java生成RSA签名JWT的示例代码

假设你使用主流的JJWT库（即代码中用到的io.jsonwebtoken），下面是完整的实现示例，包含私钥加载和JWT生成的完整逻辑：

第一步：添加Maven依赖

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

第二步：从字符串加载RSA私钥

处理客户提供的私钥字符串，转换为Java的PrivateKey对象：

import java.security.KeyFactory;
import java.security.PrivateKey;
import java.security.spec.PKCS8EncodedKeySpec;
import java.util.Base64;

public class JwtHelper {
    public static PrivateKey loadPrivateKey(String privateKeyContent) throws Exception {
        // 清理私钥字符串中的头尾标记和多余换行
        String cleanedKey = privateKeyContent.replace("-----BEGIN RSA PRIVATE KEY-----", "")
                                            .replace("-----END RSA PRIVATE KEY-----", "")
                                            .replaceAll("\\s", "");
        
        byte[] keyBytes = Base64.getDecoder().decode(cleanedKey);
        PKCS8EncodedKeySpec keySpec = new PKCS8EncodedKeySpec(keyBytes);
        KeyFactory keyFactory = KeyFactory.getInstance("RSA");
        return keyFactory.generatePrivate(keySpec);
    }
}

第三步：生成JWT Token

基于你提供的示例代码优化，修复了过时的Date构造器问题，改用更规范的方式设置过期时间：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.security.PrivateKey;
import java.util.Date;
import java.util.Calendar;

public String generateSignedJwt(PrivateKey privateKey) {
    // 设置过期时间为当前时间后1小时（可根据业务需求调整）
    Calendar expirationCalendar = Calendar.getInstance();
    expirationCalendar.add(Calendar.HOUR_OF_DAY, 1);
    Date expirationDate = expirationCalendar.getTime();

    return Jwts.builder()
            .setSubject("your-client-identity") // 替换为实际的主体标识
            .setExpiration(expirationDate)
            .setIssuer("your-company-id") // 替换为实际的发行方标识
            .claim("groups", new String[]{"user", "admin"}) // 自定义业务载荷
            .signWith(SignatureAlgorithm.RS256, privateKey) // 使用RS256算法签名
            .compact();
}

使用示例

public static void main(String[] args) throws Exception {
    // 注意：实际场景中绝对不能硬编码私钥，应从安全配置中心或密钥管理系统读取
    String clientPrivateKey = "-----BEGIN RSA PRIVATE KEY-----\nYYYYYYYYYYYYYYYYYYYYYYYYYYYYY edited ..YYYYY==\n-----END RSA PRIVATE KEY-----";
    
    PrivateKey privateKey = JwtHelper.loadPrivateKey(clientPrivateKey);
    String jwtToken = generateSignedJwt(privateKey);
    System.out.println("生成的JWT: " + jwtToken);
}

内容的提问来源于stack exchange，提问作者AVI