Node.js中验证Azure AD OAuth的access_token无效签名错误排查

嘿，我看到你在用azure-ad-jwt库验证从React Native获取的AAD令牌时碰到了签名无效的问题——虽然令牌能正常解码出内容，但就是过不了签名验证。这个问题大多和公钥匹配不正确或者配置项缺失有关，下面给你一步步拆解排查和解决方法：

1. 先确认令牌核心信息的匹配性 #

首先你已经指定了audience为https://graph.microsoft.com，和你提供的令牌里的aud字段完全一致，这部分没问题。接下来重点看令牌的iss字段：

你的令牌issuer是：https://sts.windows.net/f9756f42-27c2-4b5d-9d24-5a7604f70ef7/

azure-ad-jwt需要关联这个issuer对应的公钥才能完成签名验证，只指定audience的话，库可能无法自动获取到对应租户的正确公钥，这是常见的踩坑点。

2. 完善azure-ad-jwt的验证配置 #

修改你的验证代码，补充issuer或者指定metadata端点，让库能拿到正确的公钥：

方案一：直接指定issuer #

const aad = require('azure-ad-jwt');
const token = '<<<<My Token>>>>';

const options = {
  audience: 'https://graph.microsoft.com',
  // 添加上令牌里的issuer地址
  issuer: 'https://sts.windows.net/f9756f42-27c2-4b5d-9d24-5a7604f70ef7/'
};

aad.verify(token, options, (err, result) => {
  if (result) {
    console.log('Valid Token');
    console.log('令牌解析内容:', result);
  } else if (err) {
    console.error('验证错误:', err);
  }
});

方案二：使用metadata自动获取配置 #

如果想让库自动拉取租户的公钥和配置，可以指定OpenID配置的metadata URL：

const options = {
  audience: 'https://graph.microsoft.com',
  metadata: 'https://login.microsoftonline.com/f9756f42-27c2-4b5d-9d24-5a7604f70ef7/.well-known/openid-configuration'
};

aad.verify(token, options, (err, result) => {
  // 处理验证结果
});

3. 备选方案：改用官方推荐的验证方式 #

azure-ad-jwt这个库已经很久没有更新了，可能存在兼容性问题。微软官方更推荐用jsonwebtoken结合jwks-rsa来手动验证，稳定性和兼容性更好：

先安装依赖 #

npm install jsonwebtoken jwks-rsa

验证代码示例 #

const jwt = require('jsonwebtoken');
const jwksClient = require('jwks-rsa');

const token = '<<<<My Token>>>>';
// 指向你的租户密钥端点
const client = jwksClient({
  jwksUri: 'https://login.microsoftonline.com/f9756f42-27c2-4b5d-9d24-5a7604f70ef7/discovery/v2.0/keys'
});

// 根据令牌header里的kid获取对应公钥
function getKey(header, callback) {
  client.getSigningKey(header.kid, function(err, key) {
    const signingKey = key.publicKey || key.rsaPublicKey;
    callback(null, signingKey);
  });
}

jwt.verify(token, getKey, {
  audience: 'https://graph.microsoft.com',
  issuer: 'https://sts.windows.net/f9756f42-27c2-4b5d-9d24-5a7604f70ef7/',
  algorithms: ['RS256'] // AAD令牌默认用RS256算法
}, (err, decoded) => {
  if (err) {
    console.error('验证失败:', err);
  } else {
    console.log('令牌验证通过，解析内容:', decoded);
  }
});

最后几个排查小细节 #

• 确保你的服务器系统时间和标准时间同步，JWT的过期时间验证依赖正确的时间戳；
• 确认令牌没有被篡改——虽然能解码，但签名失败的核心原因还是公钥不匹配，所以重点放在公钥的配置上。

内容的提问来源于stack exchange，提问作者Sushant K