Rails 7中使用Devise-JWT遇JWT::DecodeError：无可用验证密钥

错误原因分析 #

出现JWT::DecodeError (No verification key available)主要有两个核心原因：

1. 手动调用JWT.decode时未明确指定签名算法，导致JWT库无法匹配验证密钥的使用规则
2. 手动解析token的方式不符合devise-jwt的集成逻辑，忽略了gem内置的安全验证流程

解决方案 #

方案1：修复手动解码逻辑（指定算法+异常处理） #

修改Sessions控制器的respond_to_on_destroy方法，补充算法指定和异常捕获：

def respond_to_on_destroy
  auth_header = request.headers['Authorization']
  unless auth_header.present? && auth_header.start_with?('Bearer ')
    return render json: { status: 401, message: 'no token provided' }
  end

  token = auth_header.split(' ')[1]
  begin
    jwt_payload = JWT.decode(
      token,
      Rails.application.credentials.fetch(:secret_key_base),
      true,
      algorithm: 'HS256' # 与devise-jwt配置的算法保持一致
    ).first
    current_user = User.find(jwt_payload['sub'])
    render json: { status: 200, message: 'signed out successfully' }
  rescue JWT::DecodeError, ActiveRecord::RecordNotFound
    render json: { status: 401, message: 'user has no active session' }
  end
end

方案2：使用devise-jwt内置方法（推荐） #

devise-jwt已经集成了用户身份验证逻辑，无需手动解析token，直接使用current_user即可：

def respond_to_on_destroy
  if current_user
    render json: { status: 200, message: 'signed out successfully' }
  else
    render json: { status: 401, message: 'user has no active session' }
  end
end

额外检查项 #

• 确认Rails.application.credentials.fetch(:secret_key_base)在当前环境（development/production）中能正常获取密钥，可通过rails credentials:show验证
• 前端请求的Authorization头格式必须为Bearer <token>，无拼写或格式错误
• 修正devise.rb中revocation_requests的路由正则（原代码末尾缺少$，建议改为%r{^/users/sign_out$}）

内容的提问来源于stack exchange，提问作者palash sharma