SSL证书场景下未持有用户私钥的CA如何验证JWS签名

首先先纠正两个容易混淆的基础认知：

• JWS（JSON Web Signature）是签名结构，不是加密结构，不存在CA“解密JWS”的操作，CA全程只需要做签名校验，根本不需要接触你的私钥。
• 非对称密码的签名验证逻辑，从设计上就只需要签名方的公钥就能完成，不需要签名方私钥参与验证环节。

CA的验证流程逻辑很直接，全程没有需要用到你私钥的环节：

1. 你最初提交CSR申请证书时，CSR本身就携带了你生成的公钥，CA完成身份校验给你签发SSL证书时，会把你的公钥直接写入证书的标准字段中，同时CA自己的数据库会留存「证书序列号 + 绑定的公钥 + 申请时提交的身份信息」的对应关系，作为后续校验的存证。
2. 你用自己的私钥对证书序列号、身份信息签名生成JWS时，JWS头部会明确标注你使用的签名算法（比如常用的RS256、ES256），通常JWS的kid（密钥ID）字段会直接填写对应证书的序列号，你也可以在发请求给CA时直接附上对应的SSL证书。
3. CA收到JWS后，按固定步骤校验即可：
   • 先解析JWS头部，获取签名算法、关联的证书标识，要么从自身存证数据库里调出对应序列号绑定的公钥，要么从你随请求附带的证书里提取公钥
   • 取出JWS里的载荷内容（也就是你填写的序列号、身份信息），按照头部标注的签名算法规则，对载荷做对应的哈希计算
   • 用拿到的你的公钥，对JWS附带的签名值做验签运算：如果公钥解出签名值里的哈希结果，和CA本地计算出的载荷哈希完全匹配，就证明这个JWS确实是持有对应私钥的主体签发的，且传输过程中内容没有被篡改。

这里要特别注意不要把非对称加密和非对称签名的逻辑搞混：

• 加密场景：发送方用接收方的公钥加密内容，只有持有对应私钥的接收方才能解密读取内容
• 签名场景：签名方用自己的私钥对内容生成签名，任何持有对应公钥的主体都可以验证签名的真伪、确认内容未被篡改，验证环节完全不需要签名方的私钥。

内容的提问来源于stack exchange，提问作者Jin Lim