我一眼就揪出了问题的核心——你的JWT解码逻辑里漏掉了关键的kid（密钥ID）匹配步骤，导致用了错误的公钥去验证签名，最终触发签名验证失败的错误，被上层逻辑包装成了invalid_header的AuthError。

具体问题点 #

1. 你把匹配kid的核心判断给注释掉了：#if key['kid'] == unverified_header['kid']:，这会导致遍历完JWKS的所有密钥后，rsa_key被设置为最后一个密钥，而不是和你的access_token头中kid对应的那一个。
2. 你没有先解析JWT的未验证头部来提取kid——Auth0的JWKS里可能存在多个公钥，必须通过kid匹配才能拿到对应签名的那一个，这一步是找对密钥的前提。

修复后的代码 #

下面是修正后的verify_decode_jwt函数，我补全了kid匹配的完整逻辑：

def verify_decode_jwt(token):
    print(token)
    jsonurl = urlopen('https://dcadventuresonline.us.auth0.com/.well-known/jwks.json')
    jwks = json.loads(jsonurl.read().decode('utf-8'))
    print(jwks)
    
    # 第一步：先解码未验证的JWT头，获取kid
    try:
        unverified_header = jwt.get_unverified_header(token)
    except jwt.JWTError:
        raise AuthError({ 'code': 'invalid_header', 'description': 'Unable to parse authentication token headers.' }, 400)
    
    rsa_key = {}
    for key in jwks['keys']:
        # 匹配token头中的kid和JWKS里的kid
        if key['kid'] == unverified_header['kid']:
            rsa_key = {
                'kty': key['kty'],
                'kid': key['kid'],
                'use': key['use'],
                'n': key['n'],
                'e': key['e']
            }
            # 找到匹配的key后直接跳出循环，不用再遍历
            break
    
    if rsa_key:
        try:
            payload = jwt.decode(
                token,
                rsa_key,
                algorithms=['RS256'],
                audience='image',
                issuer='https://dcadventuresonline.us.auth0.com/'
            )
            return payload
        except jwt.ExpiredSignatureError:
            raise AuthError({ 'code': 'token_expired', 'description': 'Token expired.' }, 401)
        except jwt.JWTClaimsError:
            raise AuthError({ 'code': 'invalid_claims', 'description': 'Incorrect claims. Please, check the audience and issuer.' }, 401)
        except Exception as e:
            print(f"Signature verification failed: {str(e)}")
            raise AuthError({ 'code': 'invalid_header', 'description': 'Unable to parse authentication token.' }, 400)
    raise AuthError({ 'code': 'invalid_header', 'description': 'Unable to find the appropriate key.' }, 400)

额外验证建议 #

• 确认你的audience参数和获取token时的audience完全一致（你的代码里是'image'，看起来没问题）
• 检查issuer的结尾斜杠——你的代码里是'https://dcadventuresonline.us.auth0.com/'，要确保和Auth0控制台里的域名格式一致（通常带或不带斜杠都可以，但最好保持统一）
• 虽然jwt.io能解码你的token，但要确认你在jwt.io里是用Auth0的公钥做了签名验证的，而不只是解码payload

内容的提问来源于stack exchange，提问作者Michael Wycklendt