JWT签名验证报错：DefaultJwtSignatureValidator无法解析为类型

1. 类的来源说明 #

DefaultJwtSignatureValidator不是主流JWT库（比如JJWT、Nimbus JOSE + JWT）里的内置类，报错“无法解析为类型”，要么是你没导入对应小众库的依赖，要么这个类需要你自己编写实现。

如果使用主流JWT库，直接用库自带的签名验证API更稳妥，没必要自定义这个类；要是一定要用这个类名，就得自己实现。

2. 主流库的替代方案（以JJWT为例） #

用JJWT的话，直接用它的API验证HS256签名就行，不用自定义类：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.security.Keys;
import java.security.Key;

// 生成符合HS256要求的密钥
Key secretKey = Keys.hmacShaKeyFor("your-strong-secret-key-here".getBytes());

// 验证JWT签名
try {
    Jwts.parserBuilder()
        .setSigningKey(secretKey)
        .build()
        .parseClaimsJws(yourJwtTokenString);
    // 走到这说明签名验证通过
} catch (Exception e) {
    // 签名无效、令牌过期或格式错误
}

3. 自行编写DefaultJwtSignatureValidator的示例代码 #

如果你确实需要实现这个类，下面是基于HS256算法的简单实现：

import io.jsonwebtoken.SignatureAlgorithm;
import io.jsonwebtoken.security.MacAlgorithm;
import javax.crypto.Mac;
import javax.crypto.SecretKey;
import java.nio.charset.StandardCharsets;
import java.security.InvalidKeyException;
import java.security.NoSuchAlgorithmException;
import java.util.Base64;
import java.security.MessageDigest;

public class DefaultJwtSignatureValidator {

    private final MacAlgorithm macAlgorithm;
    private final SecretKey secretKey;

    // 构造方法接收签名算法和密钥
    public DefaultJwtSignatureValidator(SignatureAlgorithm algorithm, SecretKey secretKey) {
        this.macAlgorithm = (MacAlgorithm) algorithm;
        this.secretKey = secretKey;
    }

    // 验证JWT签名，返回是否有效
    public boolean validate(String jwtToken) throws NoSuchAlgorithmException, InvalidKeyException {
        String[] jwtParts = jwtToken.split("\\.");
        if (jwtParts.length != 3) {
            return false; // JWT格式不正确
        }

        String headerPayload = jwtParts[0] + "." + jwtParts[1];
        String providedSignature = jwtParts[2];

        // 计算预期签名
        Mac mac = Mac.getInstance(macAlgorithm.getJcaName());
        mac.init(secretKey);
        byte[] signatureBytes = mac.doFinal(headerPayload.getBytes(StandardCharsets.UTF_8));
        String expectedSignature = Base64.getUrlEncoder().withoutPadding().encodeToString(signatureBytes);

        // 用常量时间比较防止时序攻击
        return MessageDigest.isEqual(expectedSignature.getBytes(), providedSignature.getBytes());
    }
}

说明：这个实现依赖JJWT的SignatureAlgorithm类，需要先引入JJWT依赖，比如Maven配置：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

内容的提问来源于stack exchange，提问作者user20438087