如何在Apigee中将JWT使用的RS256算法切换为HS512

注意：HS512属于对称加密算法，使用同一个密钥进行签名和验签，密钥泄露会直接导致JWT伪造风险，请妥善保管密钥。

1. 生成合规的HS512对称密钥 #

执行以下命令生成符合HS512算法要求的强随机密钥：
openssl rand -hex 32
输出的64位十六进制字符串即为可用密钥，也可根据平台要求转换为base64格式存储。

2. 修改Apigee侧JWT策略配置 #

找到示例中原有的JWT验证策略文件，做如下修改：

• 将algorithm配置项的值从RS256修改为HS512
• 删除原有非对称加密相关的公钥、JWKS地址配置项，新增sharedSecret配置项，值填写第一步生成的密钥

3. 调整Envoy侧JWT过滤器规则 #

打开Envoy配置文件中对应JWT认证的过滤器配置段：

• 移除algorithms列表中的RS256参数，新增HS512
• 将密钥提供方配置从原有的公钥/JWKS模式修改为本地对称密钥模式，密钥值和第二步配置完全一致

4. 同步修改客户端JWT生成逻辑 #

所有调用该API的客户端生成JWT时需要同步调整：

• JWT头部的alg声明字段修改为HS512
• 签名环节使用和服务端完全一致的对称密钥，不要继续使用原有的RSA私钥

5. 验证配置生效 #

• 用修改后的逻辑生成测试JWT发起请求，确认可以正常通过认证拿到响应
• 分别使用原RS256签名的JWT、密钥错误的HS512签名JWT发起请求，确认均返回401未授权错误，说明算法切换生效

内容的提问来源于stack exchange，提问作者user9066046