如何在NodeJS中验证华为SysIntegrity的JWS签名

• 先处理令牌格式问题
  JWT.io提示的末尾==问题，本质是华为SysIntegrity返回的令牌遵循Base64URL编码规范，和普通Base64有差异。正确做法不是直接删除==，而是先标准化令牌格式：把+替换成-，/替换成_，再自动处理末尾的填充符（部分库会自动识别，手动处理的话可以去掉末尾多余的=）。

• 使用正确的根证书/依赖JWKS端点
  华为SafetyDetect的签名由官方根CA签发，无需手动转换.pem/.cer格式，推荐直接使用官方提供的JWKS端点来获取公钥：

  • 现代JWT库（比如jose）支持直接从JWKS端点拉取公钥，避免手动管理证书的麻烦。

• jose包验证代码示例
  这是符合JWS标准的最简实现：

  import { createRemoteJWKSet, jwtVerify } from 'jose';
  
  // 华为SafetyDetect官方JWKS端点
  const jwks = createRemoteJWKSet(new URL('https://safety-detect.cloud.huawei.com/api/v1/jwks'));
  
  async function verifySysIntegrityToken(token) {
    try {
      // 标准化令牌格式
      const normalizedToken = token.replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
      const { payload } = await jwtVerify(normalizedToken, jwks, {
        issuer: 'HuaweiSafetyDetect', // 华为固定签发者标识
        audience: '你的应用包名', // 替换为实际的App包名
      });
      console.log('验证通过:', payload);
      return payload;
    } catch (err) {
      console.error('验证失败:', err.message);
      throw err;
    }
  }
  
  // 调用示例
  verifySysIntegrityToken('你的完整性令牌');
  

• 常见排查方向

  • 检查令牌完整性：确认前端传递的令牌没有截断、编码错误。
  • 校验aud和iss：必须匹配你的应用包名和华为固定的HuaweiSafetyDetect，缺失或不匹配会直接验证失败。
  • 网络权限：如果用远程JWKS，确保服务端能访问华为的JWKS端点，无法联网的话可以提前下载JWKS内容本地缓存使用。

内容的提问来源于stack exchange，提问作者Leon van Dyk