JWT签名疑问：私钥来源及本地JKS自定义公私钥适配方法

原代码私钥来源 #

RsaJwkGenerator.generateJwk(2048)被调用时，会在内存中随机生成一对全新的2048位RSA公私钥，绑定在返回的RsaJsonWebKey实例中。rsaJsonWebKey.getPrivateKey()拿到的就是这对临时生成的私钥。
这对密钥仅存在于当前应用进程的内存中，方法重复调用、应用重启都会生成全新的密钥对，无法用于稳定的生产环境JWT签发验签场景。

基于JKS密钥库改造代码 #

你需要先确认本地JKS密钥库的几个核心参数：密钥库文件路径、密钥库打开密码、目标RSA密钥的别名、私钥本身的访问密码，之后替换原代码里临时生成密钥的逻辑，从JKS中加载私钥完成签名即可。

改造后完整代码 #

import java.io.FileInputStream;
import java.security.KeyStore;
import java.security.PrivateKey;
import org.jose4j.jws.AlgorithmIdentifiers;
import org.jose4j.jws.JsonWebSignature;
import org.jose4j.jwt.JwtClaims;

public String createJWT() throws Exception {
    // 以下配置替换为你本地JKS的实际参数
    String jksFilePath = "/your/local/path/keystore.jks";
    String storePass = "your_keystore_password";
    String keyAlias = "jwt_sign_key_001";
    String keyPass = "your_private_key_password";

    // 加载JKS密钥库，取出对应别名的RSA私钥
    KeyStore keyStore = KeyStore.getInstance("JKS");
    try (FileInputStream inputStream = new FileInputStream(jksFilePath)) {
        keyStore.load(inputStream, storePass.toCharArray());
    }
    PrivateKey signPrivateKey = (PrivateKey) keyStore.getKey(keyAlias, keyPass.toCharArray());
    // 直接用密钥别名作为JWT头的kid，方便验签端匹配对应公钥
    String signKeyId = keyAlias;

    // 原有载荷逻辑无需改动
    JwtClaims claims = new JwtClaims();
    claims.setIssuer(issuer);
    claims.setExpirationTimeMinutesInTheFuture(60);
    claims.setJwtId(signKeyId);
    claims.setIssuedAtToNow();
    claims.setNotBeforeMinutesInThePast(2);
    claims.setSubject(subject);

    JsonWebSignature jws = new JsonWebSignature();
    jws.setPayload(claims.toJson());
    jws.setHeader("typ", "JWT");
    // 替换为JKS中加载的私钥
    jws.setKey(signPrivateKey);
    jws.setKeyIdHeaderValue(signKeyId);
    jws.setAlgorithmHeaderValue(AlgorithmIdentifiers.RSA_USING_SHA256);

    String jwt = jws.getCompactSerialization();
    System.out.println("JWT: " + jwt);
    return jwt;
}

注意点 #

• JKS中存储的必须是RSA类型密钥，和RS256签名算法匹配，DSA、SM2等其他算法密钥无法直接使用
• 生产环境不要把JKS密码、私钥密码硬编码在代码中，建议通过环境变量、配置中心注入
• 验签服务需要提前持有对应公钥，通过JWT头中的kid字段匹配公钥完成验签即可

内容的提问来源于stack exchange，提问作者DiegoMG