Envoy网关验证Laravel(Lumen)生成的HS256算法JWT失败如何解决

核心问题原因 #

你的Envoy JWT验证失败的核心原因是JWKS配置中密钥的编码格式不符合规范，其次存在几个配置不匹配的潜在问题：

修复方案 #

• 1. 修正JWKS中的k值编码

JWKS规范要求oct类型对称密钥的k字段必须为Base64URL编码格式，你当前直接填写明文helloworld会导致Envoy解码后得到的密钥和你生成JWT用的密钥不一致，这是最主要的错误原因。
你需要先将明文密钥helloworld转换为Base64URL格式：
明文helloworld的标准Base64编码为aGVsbG93b3JsZA==，转换为Base64URL时删除末尾的=即可，得到aGVsbG93b3JsZA。
修正后的local_jwks配置如下：

local_jwks:
  inline_string: '{"keys": [{"kty": "oct", "use": "sig", "kid": "ek4Z9ouLmGnCoezntDXMxUwmjzNTBqptKNkfaqc6Ew8", "k": "aGVsbG93b3JsZA", "alg": "HS256"}]}'

• 2. 确认issuer字段匹配

你JWT生成代码中iss字段取的是config('app.name')，Envoy配置中provider指定的issuer值为Lumen，需要确认你的Laravel项目app.php配置文件中name参数的值确实为Lumen，两边不一致也会触发验证失败。

• 3. 清理JWT payload冗余字段

alg和kid属于JWT头部标准字段，不需要放到payload中，建议从payload数组里删除这两个配置，避免出现不可预期的解析问题。

• 4. 确认路由验证规则匹配

当前Envoy配置中JWT验证规则仅作用于/list前缀的请求，如果你需要对/api前缀的接口也做JWT验证，需要修改rules下的匹配前缀：

rules:
  - match:
      prefix: "/api"
    requires:
      provider_name: "provider1"

内容的提问来源于stack exchange，提问作者zhannalytov