为Google服务账号生成签名JWT时签名验证失败求助

• 检查JWT头部编码与格式
  必须严格遵循Google要求：Header里要有alg: "RS256"和typ: "JWT"，序列化后做Base64URL编码（去掉末尾=填充，替换+为-、/为_），别用普通Base64，这是最容易踩的坑。

• 校验Payload的必填字段与格式
  Payload必须包含以下字段，少一个都不行：

  • iss: 服务账号完整邮箱（比如xxx@xxx.iam.gserviceaccount.com）
  • scope: 申请的权限范围（多权限用空格分隔，比如https://www.googleapis.com/auth/cloud-platform）
  • aud: 固定写https://oauth2.googleapis.com/token
  • exp: 过期时间戳（必须在当前时间+3600秒内，不能超1小时）
  • iat: 签发时间戳（要早于exp，不能是未来时间）
    同样，Payload序列化后必须做正确的Base64URL编码，不能有多余空格或换行。

• 私钥加载与签名的细节

  • Google给的私钥是PKCS#8格式的PEM文件，加载前要先去掉头尾的-----BEGIN PRIVATE KEY-----和-----END PRIVATE KEY-----，删掉所有换行符，再Base64解码成字节数组。
  • .NET里签名时，要明确指定哈希算法和填充方式：

    var rsa = RSA.Create();
    // cleanedPrivateKey是处理后的私钥Base64字符串
    rsa.ImportPkcs8PrivateKey(Convert.FromBase64String(cleanedPrivateKey), out _);
    // 要签名的内容是Header和Payload编码后的拼接字符串
    var contentToSign = Encoding.UTF8.GetBytes($"{encodedHeader}.{encodedPayload}");
    var signature = rsa.SignData(contentToSign, HashAlgorithmName.SHA256, RSASignaturePadding.Pkcs1);
    // 签名结果也要转成Base64URL
    var encodedSignature = Base64UrlEncode(signature);
    

  这里的Base64UrlEncode要自己实现，确保符合无填充、字符替换的规则。

• JWT拼接的完整性
  最终JWT必须是编码Header.编码Payload.编码Signature的格式，三个部分只能用英文句号分隔，不能有任何空格、换行或多余字符，比如编码后别加换行，拼接时别手抖多打空格。

• jwt.io验证的正确姿势
  在jwt.io上验证时，要粘贴完整的JWT字符串，并且在「Public Key」框里粘贴服务账号对应的公钥（从Google Cloud控制台服务账号详情页获取，或者用私钥导出），公钥错了也会提示签名无效。

内容的提问来源于stack exchange，提问作者VSOS