OKTA签发的JWT令牌的签名是如何进行验证的？

你遇到的差异是由OKTA和你自行生成JWT所用的签名算法类型不同，以及jwt.io对应不同算法的校验逻辑差异导致的：

非对称签名算法（OKTA默认采用的算法）的校验逻辑 #

OKTA作为标准化身份提供商，签发JWT默认使用RS256、ES256这类非对称签名算法，jwt.io针对这类JWT的校验逻辑如下：

• 非对称算法用私钥签名、公钥验签，OKTA会对外公开自身的JWKS（JSON Web密钥集），里面包含了用于验签的全部公钥
• jwt.io会自动读取JWT payload里的iss（签发者）字段，匹配到对应OKTA实例的公开密钥集，自动拉取和JWT header中kid（密钥ID）匹配的公钥
• 用拉取到的公钥对JWT签名做校验，只要签名确实是OKTA用对应的私钥签发，且JWT header、payload未被篡改，就会提示签名已验证
• 整个过程不需要你手动输入任何密钥，jwt.io会自动完成公钥获取和校验流程，这也是你粘贴OKTA的access_token直接显示验证通过的原因

对称签名算法（你自行生成用的HS256）的校验逻辑 #

HS256属于对称签名算法，签名和验签使用同一个密钥，jwt.io针对这类JWT的校验逻辑如下：

• jwt.io不可能提前获知你生成JWT时使用的自定义密钥，所以不会自动填充校验密钥
• 你需要手动在jwt.io页面的「Verify Signature」区域填入你生成JWT时使用的完全一致的密钥，才能完成校验，未填入密钥或者密钥不匹配的情况下，就会提示签名未验证

如果你填入密钥后还是提示验证失败，优先排查两个常见问题：一是如果生成JWT时用的是Base64编码后的密钥，需要勾选「secret base64 encoded」选项；二是检查JWT的header、payload内容有没有被改动，任意字符修改都会导致签名校验失败。

内容的提问来源于stack exchange，提问作者K.Nicholas