Next.js中用jose替代jsonwebtoken对接Clerk.dev验证JWT遇错求助

问题背景 #

在Next.js v12.3.2的中间件中尝试验证Clerk的JWT令牌，按文档使用jsonwebtoken时因Node环境限制报错，改用jose结合CLERK_JWT_KEY验证时，持续出现「Error: Key info doesn't have required parameters」错误。参考代码如下：

export const decodeAndVerifyToken = async (
  getToken: ServerGetToken
): Promise<JWTPayload | undefined> => {
  // initialize a variable for the token
  let token: string | null;

  try {
    // get the token using metadata template, which should return
    // a 'publicMetadata' object containing an 'isAdmin' value
    token = await getToken({ template: "metadata" });
  } catch (err) {
    // if we had an error getting the token, return undefined
    return undefined;
  }

  // if no token is found, then short-circuit to undefined
  if (!token) {
    return undefined;
  }

  // split the jwt key to 64-bit lines
  const splitPem = process.env.CLERK_JWT_KEY?.match(/.{1,64}/g) ?? [];

  // combine into a public key format
  const publicKey =
    "-----BEGIN PUBLIC KEY-----\n" +
    splitPem.join("\n") +
    "\n-----END PUBLIC KEY-----";

  const test = await importSPKI(publicKey, "ES256").catch((err) =>
    console.log(err)
  );
};

解决方案 #

1. 停止手动处理CLERK_JWT_KEY格式 #

Clerk后台提供的CLERK_JWT_KEY本身就是标准的PEM格式（自带-----BEGIN PUBLIC KEY-----和-----END PUBLIC KEY-----头尾），你手动拆分拼接的逻辑会破坏密钥结构，导致importSPKI无法解析。直接使用原始环境变量即可。

2. 修正签名算法 #

Clerk默认使用RS256算法，不是你代码里的ES256。算法不匹配是密钥解析失败的核心原因之一。

3. 正确调用jose验证流程 #

必须先通过importSPKI将公钥转换成jose可识别的Key对象，再传入jwtVerify进行验证，不能直接传字符串公钥。

修正后的完整代码 #

import { importSPKI, jwtVerify, JWTPayload } from "jose";
import { ServerGetToken } from "@clerk/nextjs/dist/types/server";

export const decodeAndVerifyToken = async (
  getToken: ServerGetToken
): Promise<JWTPayload | undefined> => {
  let token: string | null;

  try {
    token = await getToken({ template: "metadata" });
  } catch (err) {
    return undefined;
  }

  // 同时校验token和环境变量是否存在
  if (!token || !process.env.CLERK_JWT_KEY) {
    return undefined;
  }

  try {
    // 直接使用原始CLERK_JWT_KEY，指定正确的RS256算法
    const publicKey = await importSPKI(process.env.CLERK_JWT_KEY, "RS256");
    const { payload } = await jwtVerify(token, publicKey);
    return payload;
  } catch (verifyErr) {
    console.error("JWT验证失败:", verifyErr);
    return undefined;
  }
};

额外注意事项 #

• 检查CLERK_JWT_KEY环境变量是否完整，避免复制时遗漏换行或字符，可在代码中临时打印process.env.CLERK_JWT_KEY确认内容。
• Next.js v12的中间件运行在Edge Runtime，jose原生支持该环境，无需额外配置。
• 若使用Clerk最新版本，建议直接使用官方提供的verifyToken方法，无需手动调用jose，减少自定义逻辑出错概率。

内容的提问来源于stack exchange，提问作者halsdunes