使用Auth0生成的JWT调用Apple REST API时持续返回invalid_client错误

核心排查点： #

1. JWT负载参数必须严格匹配场景

• iss字段：必须使用10位开发者Team ID，而非App Store Connect API的Issuer ID（后者仅用于App Store Connect接口调用）
• sub字段：必须与请求中的client_id完全一致：
  • 原生iOS应用场景下，两者都要填应用的Bundle Identifier（如com.yourteam.yourapp），不要用App ID的数字后缀
  • 该字段不可省略，是Apple授权令牌请求的必填项
• 时间戳：iat必须为当前Unix秒级时间戳，exp需在iat之后且不超过1小时（Apple规定JWT最长有效期为1小时，10分钟是合规的，但要确保时间戳无毫秒误差）

2. 私钥处理避免多余转换

• 直接使用从App Store Connect下载的.p8私钥内容，无需转换为PKCS#8格式，保留头尾的-----BEGIN PRIVATE KEY-----和-----END PRIVATE KEY-----，且不要添加多余换行或空格
• jwt.io签名时仅需粘贴私钥，无需手动输入公钥（Apple会用后台绑定的对应公钥验证，本地签名通过不代表Apple端匹配）

3. 请求参数与编码验证

• 确保client_secret是完整的JWT字符串，无截断、转义错误
• code必须是刚获取的授权码，授权码仅可使用一次，重复提交会触发错误
• 检查percentEncoded()方法是否正确处理了表单参数，避免JWT中的特殊字符（如.、_）被错误编码

4. 密钥与应用的权限绑定

• 确认在App Store Connect创建密钥时，已勾选Sign in with Apple服务权限
• 确保应用在Apple Developer后台的标识符配置中，已开启Sign in with Apple功能
• 密钥对应的Team ID需与应用所属Team ID完全一致

正确的JWT示例 #

头部：

{
  "alg": "ES256",
  "kid": "你的10位密钥ID",
  "typ": "JWT"
}

负载：

{
  "iss": "你的10位Team ID",
  "iat": 1620000000, // 当前Unix秒级时间戳
  "exp": 1620003600, // 1小时后有效期
  "aud": "https://appleid.apple.com",
  "sub": "com.yourteam.yourapp" // 与请求client_id一致
}

内容的提问来源于stack exchange，提问作者Softesttest