使用Google auth库签署JWT是否需要互联网访问？

问题解答 #

Google Auth 库的 JWT 签署过程完全在本地完成，不需要连接互联网调用任何外部服务。

核心原理

JWT 签名的本质是基于你本地存储的有效凭证（通常是 Google 服务账号密钥文件里的 RSA 私钥），调用库内置的加密算法，对 JWT 的 header、payload 部分做哈希加密生成签名，整个过程只涉及本地运算，没有远程交互。

相关注意事项

• 注意区分两个核心流程的差异：
  • JWT 签署：本地完成，无网络请求
  • 用已签署的 JWT 向 Google OAuth 2.0 端点兑换 access token：必须联网，这一步是大家容易和签署步骤搞混的环节
• 如果你在 Google 云托管环境（GCE、GKE、Cloud Functions 等）中使用默认服务账号授权，auth 库会直接调用环境内部的元数据服务获取凭证，不需要你手动处理 JWT 签署流程，该场景下的签名运算也不会产生公网请求。
• 所有官方开源的 Google Auth 库的签名逻辑都可以在公开源码中查到，没有隐藏的远程调用逻辑，你可以自行查阅对应语言版本的库源码验证。

内容的提问来源于stack exchange，提问作者snowykz