FastAPI集成Auth0对接Okta时遇JWK Set无可用密钥错误

问题 #

在通过FastAPI搭建Auth0认证对接Okta应用时，遇到如下错误：

jwt.exceptions.PyJWKSetError: The JWK Set did not contain any usable keys

实现方式遵循Auth0官方教程，以下是令牌验证代码，错误出现在verify函数的第一个try块中：

class VerifyToken():
    """Does all the token verification using PyJWT"""
    def __init__(self, token):
        self.token = token
        self.config = set_up()
        print(self.config)
        # This gets the JWKS from a given URL and does processing so you can
        # use any of the keys available
        jwks_url = f'https://{self.config["DOMAIN"]}/.well-known/jwks.json'
        self.jwks_client = jwt.PyJWKClient(jwks_url)
    def verify(self):
        # This gets the 'kid' from the passed token
        try:
            self.signing_key = self.jwks_client.get_signing_key_from_jwt(
                self.token
            ).key
        except jwt.exceptions.PyJWKClientError as error:
            print(error)
            return {"status": "error", "msg": error.__str__()}
        except jwt.exceptions.DecodeError as error:
            return {"status": "error", "msg": error.__str__()}
        try:
            print(self.config)
            payload = jwt.decode(
                self.token,
                self.signing_key,
                algorithms=self.config["ALGORITHMS"],
                audience=self.config["API_AUDIENCE"],
                issuer=self.config["ISSUER"],
                options={"verify_exp": False}
            )
        except Exception as e:
            return {"status": "error", "message": str(e)}
        return payload

可能的原因与解决方案 #

• 检查JWKS端点的有效性
  手动访问配置中的jwks_url（即https://{DOMAIN}/.well-known/jwks.json），确认返回的JSON中包含有效的密钥集合。如果返回空数组或格式错误，需核对Okta应用的域名配置是否正确，同时确认Okta授权服务器已启用并生成了签名密钥。

• 确认令牌kid与JWKS密钥匹配
  解码令牌头部（可通过jwt.io工具），提取kid字段值，对比JWKS返回的密钥列表，确认存在相同kid的密钥。若不存在，说明令牌使用的密钥已被轮换，需要重新获取由当前有效密钥签名的令牌。

• 验证算法配置与PyJWT版本
  Okta默认使用RS256非对称加密算法，确保config["ALGORITHMS"]设置为["RS256"]，避免误用对称算法。同时检查PyJWT版本是否为最新稳定版，旧版本可能存在密钥解析兼容性问题。

• 核对配置参数准确性
  逐一确认DOMAIN、API_AUDIENCE、ISSUER参数与Okta应用配置完全一致：

  • ISSUER通常格式为https://{DOMAIN}/oauth2/default（需根据Okta授权服务器的实际配置调整）
  • API_AUDIENCE必须与Okta中创建的API标识符完全匹配

内容的提问来源于stack exchange，提问作者Harris Minhas