SAP PI/PO环境下RS256 JWS签名Java代码异常排障求助

核心错误原因 #

当前代码存在4个直接导致签名异常的问题：

• 签名段输出[B@42ace6ba的根因：[B@xxxx是Java中byte数组直接调用默认toString()方法的返回值（打印对象类型+内存哈希地址），代码拿到签名结果byte数组后，既没有对签名做Base64URL无填充编码，也没有把编码后的签名段拼接到最终返回的token串中，直接拼接byte数组对象就会出现这个错误值。
• 待签名串格式错误：JWS标准结构为Base64URL(Header).Base64URL(Payload).Base64URL(Signature)，原代码在签名计算前就提前在Payload后追加了.，导致待签名内容尾部多了一个点号，和标准要求不一致，即使生成签名也无法通过验签。
• PEM私钥解析逻辑缺失：传入的PEM格式私钥默认带有-----BEGIN PRIVATE KEY-----/-----BEGIN RSA PRIVATE KEY-----头尾标识、换行符，直接对原始PEM字符串做Base64解码会抛出解码失败异常，必须先清理非密钥内容。
• 异常处理逻辑缺陷：原代码catch块仅打印错误栈，没有向外抛出异常，会导致签名流程失败时仍然返回格式错误的残缺token，无法在SAP PI监控台快速定位问题。

注：原代码中byte[] signed = null声明在try块外是符合Java变量作用域规则的，不需要移除，只要保证签名执行后给变量赋值、完成编码拼接即可。

修正后可直接在SAP PI/PO环境运行的代码 #

import java.nio.charset.StandardCharsets;
import java.security.KeyFactory;
import java.security.PrivateKey;
import java.security.Signature;
import java.security.spec.PKCS8EncodedKeySpec;
import java.util.Base64;

// 类名、Container引用保持和现有SAP PI开发环境一致即可
public class JwsSignGenerator {
    public String jwsToken(String key, String data, String header, Container container) throws StreamTransformationException {
        try {
            // 1. 清理PEM私钥的头尾标识、换行、空白字符，仅保留Base64编码的密钥内容
            String cleanedPrivateKey = key.replace("-----BEGIN PRIVATE KEY-----", "")
                    .replace("-----END PRIVATE KEY-----", "")
                    .replace("-----BEGIN RSA PRIVATE KEY-----", "")
                    .replace("-----END RSA PRIVATE KEY-----", "")
                    .replaceAll("\\s+", "");
            
            // 2. 解析PKCS8格式RSA私钥
            byte[] keyBytes = Base64.getDecoder().decode(cleanedPrivateKey);
            PKCS8EncodedKeySpec keySpec = new PKCS8EncodedKeySpec(keyBytes);
            KeyFactory keyFactory = KeyFactory.getInstance("RSA");
            PrivateKey privateKey = keyFactory.generatePrivate(keySpec);

            // 3. 生成符合标准的待签名串：Base64URL(Header).Base64URL(Payload)
            String headerEncoded = Base64.getUrlEncoder().withoutPadding()
                    .encodeToString(header.getBytes(StandardCharsets.UTF_8));
            String payloadEncoded = Base64.getUrlEncoder().withoutPadding()
                    .encodeToString(data.getBytes(StandardCharsets.UTF_8));
            String signingContent = headerEncoded + "." + payloadEncoded;

            // 4. 执行RS256签名（对应RSASSA-PKCS1-v1.5 SHA-256算法）
            Signature signer = Signature.getInstance("SHA256withRSA");
            signer.initSign(privateKey);
            signer.update(signingContent.getBytes(StandardCharsets.UTF_8));
            byte[] signResult = signer.sign();

            // 5. 签名段做Base64URL无填充编码，拼接为完整JWS串返回
            String signEncoded = Base64.getUrlEncoder().withoutPadding().encodeToString(signResult);
            return signingContent + "." + signEncoded;

        } catch (Exception e) {
            e.printStackTrace();
            throw new StreamTransformationException("JWS RS256签名生成失败：" + e.getMessage(), e);
        }
    }
}

开发注意事项 #

• 私钥格式校验：如果传入的是PKCS#1格式私钥（PEM头尾为BEGIN RSA PRIVATE KEY），清理完字符串后需要额外做PKCS1转PKCS8的处理，否则密钥解析会失败。SAP PI/PO环境建议直接使用PKCS8格式私钥（PEM头尾为BEGIN PRIVATE KEY），无需额外格式转换。
• 编码统一：所有字符串转byte数组的逻辑统一使用UTF-8编码，不要依赖服务器默认编码，避免不同环境下编码不一致导致签名结果错误。
• 验签测试：生成JWS后可以先用固定公钥做本地验签，确认签名逻辑正确后再部署到PI环境，减少联调成本。

内容的提问来源于stack exchange，提问作者Harry