Spring Boot OAuth2资源服务器JWT验证异常是否与kid不一致相关咨询

从JWK URI获取到的kid与JWT Token中解析的kid不一致，完全会触发你遇到的该异常。

底层校验逻辑说明 #

• Nimbus JOSE JWT库校验JWT签名的核心流程如下：
  1. 解析传入JWT的头部，提取kid（密钥ID）和签名算法字段
  2. 向配置的JWK URI发起请求获取公钥列表，遍历列表匹配kid完全一致的公钥
  3. 若没有匹配到对应kid的公钥，或者匹配到的公钥支持的算法和JWT签名算法不匹配，就会抛出BadJOSEException，异常信息就是你看到的Signed JWT rejected: Another algorithm expected, or no matching key(s) found
• 你预发环境运行正常恰好符合该逻辑：预发环境Token的kid和JWK接口返回的kid完全匹配，能找到对应公钥完成签名校验。

生产环境排查方向 #

• 优先确认生产环境配置的spring.security.oauth2.resourceserver.jwt.jwk-set-uri参数，是否正确指向生产环境的授权服务器JWK接口，避免误配成预发或者其他环境的地址。
• 检查生产环境请求携带的Token是否合法：是否存在误用预发环境签发的Token调用生产接口的情况。
• 排查公钥缓存问题：Spring Security OAuth2 Resource Server默认会缓存JWK接口的返回结果，若生产授权服务器近期更新过签名密钥，服务端缓存的还是旧的JWK列表，也会出现kid匹配失败的问题，可以尝试重启服务清空缓存验证。

你提到的DefaultJWTProcessor类的校验逻辑，本质就是遍历JWK列表筛选匹配kid的密钥，筛选结果为空时就会触发该异常，和你遇到的场景完全吻合。

内容的提问来源于stack exchange，提问作者anavaras lamurep