无法用Node验证Amazon Cognito JWT令牌问题求助

咱们先从你给出的操作步骤和代码里，排查几个最可能导致这个错误的点：

1. 令牌提取不完整或带有多余字符 #

你从登录重定向URL里提取id_token时，很容易不小心带上多余的内容——比如URL里的#、&expires_in=xxx这类后缀，或者复制时截断了令牌。

验证方法：先在代码里console.log(token)，确认输出的是标准的三段式JWT（格式为header.payload.signature，用两个.分隔）。如果不是，重新提取纯id_token部分，确保没有任何额外字符。

2. JWKS端点URL错误 #

你写的JWKS地址https://cognito-idp.us-east-1.amazonaws.com/ap-east-1userpool/.well-known/jwks.json明显不符合Cognito的规范：

• 用户池ID格式应该是{区域}_{随机字符串}（比如us-east-1_AbCdEfGhI）
• 域名的区域要和用户池区域一致

正确的JWKS端点格式是：

https://cognito-idp.{区域}.amazonaws.com/{用户池ID}/.well-known/jwks.json

如果URL错误，你获取到的密钥要么不匹配，要么根本不是有效的JWK，这也会触发格式错误。

3. 代码中JWK或令牌的赋值问题 #

你代码里的var token = <token_from_login_endpoint>;和var jwk = <key_object_which_matches_kid_from_token>;如果是直接保留了占位符，或者赋值时出了问题：

• 确保token是字符串类型的完整JWT
• 确保jwk是从JWKS的keys数组里拿到的完整对象，而不是JSON字符串（如果是字符串，需要用JSON.parse()转换）

修正后的示例代码 #

这里给你一个更严谨的验证代码，包含自动匹配JWK的逻辑：

const jwt = require('jsonwebtoken');
const jwkToPem = require('jwk-to-pem');
const axios = require('axios');

// 替换成你的实际用户池信息
const userPoolId = 'us-east-1_你的用户池ID';
const region = 'us-east-1';

// 确保这里是你正确提取的id_token
const token = '你的id_token字符串';

// 获取JWKS并匹配对应的密钥
axios.get(`https://cognito-idp.${region}.amazonaws.com/${userPoolId}/.well-known/jwks.json`)
  .then(response => {
    const jwks = response.data.keys;
    // 从令牌头中获取kid，找到匹配的密钥
    const decodedHeader = jwt.decode(token, { complete: true }).header;
    const matchingKey = jwks.find(key => key.kid === decodedHeader.kid);

    if (!matchingKey) {
      throw new Error('未找到匹配的JWK密钥');
    }

    const pem = jwkToPem(matchingKey);
    // 执行验证
    jwt.verify(token, pem, { algorithms: ['RS256'] }, (err, decodedToken) => {
      if (err) {
        console.error('验证失败:', err);
      } else {
        console.log('验证成功，解码内容:', decodedToken);
      }
    });
  })
  .catch(err => {
    console.error('获取密钥失败:', err);
  });

额外提醒 #

• 注意jwt.verify是异步方法，你原来代码里的console.log(result)会先输出undefined，这是正常的，不要误以为是验证失败
• 确保你安装的jsonwebtoken版本在8.x以上，旧版本可能对RS256算法支持有问题

内容的提问来源于stack exchange，提问作者Daniel