如何从jwks-rsa的getSigningKey获取公钥？Apple登录鉴权遇错求助

看起来你在使用jwks-client处理Apple登录的JWT鉴权时遇到了两个核心问题：getSigningKey返回的key是-1，以及尝试调用相关方法时的报错。我来帮你拆解原因并给出解决方案：

1. 为什么key返回-1？ #

当jwks-client在指定的JWKS端点中找不到与你提供的kid匹配的密钥时，就会返回-1作为错误标识。常见原因包括：

• JWKS地址错误：Apple官方的公钥端点是https://appleid.apple.com/auth/keys，先检查process.env.APPLE_URL是否正确配置成了这个地址。
• 无效/过期的kid：Apple会定期轮换公钥的kid，如果你的token是过期的，或者kid已经从JWKS端点中移除，就会匹配失败。
• 网络/SSL问题：如果你的服务器无法访问Apple的HTTPS端点，strictSsl: true会阻止请求，导致无法获取密钥列表。

2. 为什么会出现"getPublicKey is not a function"类错误？ #

这个问题本质是你混淆了jwks-rsa和jwks-client两个库的API差异：

• jwks-rsa的getSigningKey返回的对象包含getPublicKey()方法；
• 但jwks-client的getSigningKey如果成功找到密钥，返回的是一个直接包含publicKey或rsaPublicKey属性的对象，根本没有getPublicKey方法。
• 更关键的是，当key返回-1时，你尝试访问key.publicKey，这时候-1是数字类型，自然会抛出类似"Cannot read property 'publicKey' of number"的错误，可能你之前误以为是getPublicKey的问题，但本质是key已经处于错误状态。

修复后的代码示例 #

const header = token.split(".");
const jwtHead = Buffer.from(header[0], "base64").toString();
const kid = JSON.parse(jwtHead).kid;
const jwksClient = require('jwks-client');

// 先硬编码Apple的官方JWKS地址确认，后续再换回环境变量
const client = jwksClient({ 
  strictSsl: true,
  jwksUri: 'https://appleid.apple.com/auth/keys' 
});

client.getSigningKey(kid, (err, key) => { 
  // 先处理错误情况
  if (err || key === -1) {
    console.error('获取签名密钥失败:', err || '未找到匹配的kid');
    return;
  }

  // 根据密钥类型获取公钥
  const signingKey = key.publicKey || key.rsaPublicKey;
  console.log('获取到的公钥:', signingKey);
  
  // 后续可以用这个公钥验证JWT签名
});

额外排查步骤 #

• 手动访问Apple的JWKS端点，查看返回的keys数组中是否包含你的token里的kid；
• 确保你的token是有效的（未过期、签名正确），可以用JWT解码工具先解析token确认kid；
• 如果服务器在受限制的网络环境中，检查是否能访问https://appleid.apple.com，必要时调整代理或SSL设置。

内容的提问来源于stack exchange，提问作者Bhagirath Suthar