能否用jsonwebtoken生成JWT后用jose在Next.js中间件验证？

DevOps 小满

2026-8-12

问题解答

核心结论

完全可以用jose验证jsonwebtoken生成的JWT，不需要后端改用jose。JWT是标准化格式，只要签名算法（默认都是HS256）、密钥一致，不同库之间的生成与验证完全兼容。

你的代码存在几个关键问题，修正后即可正常验证：

缺少NextResponse导入，Next.js中间件必须用它处理响应跳转
jose的jwtVerify要求密钥为KeyLike类型，不能直接传字符串，需转换为Uint8Array格式
req.cookies.get("token")返回的是Cookie对象，要取value属性才能拿到令牌字符串
if (token)后未加花括号，导致try块仅包含第一行console.log，语法逻辑错误

修正后的代码示例

import { NextRequest, NextResponse } from "next/server";
import { jwtVerify } from "jose";

// 将字符串密钥转换为jose要求的格式
const secret = new TextEncoder().encode(process.env.JWT_SECRET!);

export const config = {
  matcher: ["/((?!api|_next|fonts|500|examples|[\w-]+\.\w+).*)"]
};

export default async function middleware(req: NextRequest) {
  const url = req.url;
  // 获取cookie中的令牌值，可选链处理不存在的情况
  const cookieToken = req.cookies.get("token")?.value;
  const urlToken = req.nextUrl.searchParams.get("token");

  if (url.includes("/auth")) {
    if (!cookieToken) {
      return NextResponse.next();
    }

    try {
      // jwtVerify是异步方法，需加await
      const { payload } = await jwtVerify(cookieToken, secret);
      console.log("验证通过，用户信息：", payload);
      // 用URL对象生成跳转地址，适配不同环境
      return NextResponse.redirect(new URL("/", req.url));
    } catch (e) {
      // 验证失败，继续留在/auth页面
      return NextResponse.next();
    }
  }

  // 其他路由默认放行
  return NextResponse.next();
}