使用jsonwebtoken验证Keycloak返回JWT出现无效签名错误如何解决

解决方法 #

• 密钥编码适配
  jsonwebtoken 库部分版本校验HS256签名时，仅支持Buffer类型的密钥参数，直接传入字符串会导致签名校验失败，修改代码如下即可：

const token = "eyJhbGciOiJIUzI1NiIsInR5cCIgOiAiSldUIiwia2lkIiA6ICJhOWY4NDhhYi05ZTllLTQ0ZDAtYWQ5NC1jN2VhMTBhMDMzOTIifQ.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.Ir2qhdGqJzbJPn8S9TzDP2RRmN207pc8y3UrD7cCD5Q";
const secret = "1a5debfc-63c8-48e8-95cb-b42aa0187310";
// 密钥转为UTF8编码的Buffer传入
jsonwebtoken.verify(token, Buffer.from(secret, 'utf8'), { algorithms: ["HS256"] });

• jwt.io配置对齐
  如果你在jwt.io校验时勾选了密钥的base64 encoded选项，需要将密钥转为base64解码后的Buffer：

jsonwebtoken.verify(token, Buffer.from(secret, 'base64'), { algorithms: ["HS256"] });

• 校验规则排查
  可以临时关闭额外校验项确认问题根源，确认签名正常后再按需开启校验：

jsonwebtoken.verify(token, Buffer.from(secret, 'utf8'), { 
  algorithms: ["HS256"],
  ignoreExpiration: true,
  issuer: "http://localhost:80/auth/realms/myrealm"
});

• Keycloak配置校验
  确认Keycloak对应客户端的「访问令牌签名算法」配置为HS256，且「客户端身份验证」开关处于开启状态，确保使用的client_secret和Keycloak后台配置完全一致。

内容的提问来源于stack exchange，提问作者Mike