使用相同密钥生成JWT令牌出现不同结果的问题咨询

问题原因 #

你当前的核心问题出在算法和密钥的匹配逻辑，以及密钥复制的完整性上：

• 你选择的HS256属于对称加密算法，仅需要传入一个相同的字符串作为签名和验签的密钥即可，不需要使用RSA私钥。
• 你代码中读取的RSA私钥包含头尾标识、换行等特殊格式字符，在jwt.io输入密钥时你大概率没有完整复制所有字符，导致两边密钥实际值不同，签名自然校验不通过。而HELLO这类简单密钥没有特殊格式，复制不会出错，所以不会出现不一致问题。
• 你调用JWT::encode()时没有显式指定算法，若依赖库版本更新默认算法变更，也会导致编解码算法不匹配。

修复方案 #

方案1：继续使用HS256对称算法 #

直接替换RSA私钥为随机复杂字符串作为密钥即可，修改后代码如下：

<?php
namespace App\Controller\Component;

use Cake\Controller\Component;
use \Firebase\JWT\JWT;
use Cake\ORM\TableRegistry;

class JWTComponent extends Component
{
    // 预定义足够复杂的HS256对称密钥，长度建议不小于32位
    private $jwtKey = '自定义的随机复杂字符串';

    public function check_token($token){
        $decoded = [];
        try {
            $decoded = JWT::decode($token, $this->jwtKey, array('HS256'));
            $decoded = (array) $decoded;
        } catch (Exception $e) {
            $decoded = ['error' => $e->getMessage()];
        }finally{
            return $decoded;
        }
    }

    public function get_token($data) {
        // 显式指定算法为HS256
        return JWT::encode($data, $this->jwtKey, 'HS256');
    }
}

后续在jwt.io选择HS256算法，直接填入上述自定义的密钥即可生成一致的签名结果。

方案2：改用RS256非对称算法 #

如果你确实需要使用RSA密钥对，就将算法替换为非对称的RS256，签名用私钥、验签用公钥，修改后代码如下：

<?php
namespace App\Controller\Component;

use Cake\Controller\Component;
use \Firebase\JWT\JWT;
use Cake\ORM\TableRegistry;

class JWTComponent extends Component
{
    public function check_token($token){
        $decoded = [];
        // 验签用RSA公钥
        $key = openssl_pkey_get_details(openssl_pkey_get_public('file://'.APP.'public.pem'))['key'];
        try {
            // 算法改为RS256
            $decoded = JWT::decode($token, $key, array('RS256'));
            $decoded = (array) $decoded;
        } catch (Exception $e) {
            $decoded = ['error' => $e->getMessage()];
        }finally{
            return $decoded;
        }
    }

    public function get_token($data) {
        // 签名用RSA私钥
        $key = openssl_pkey_get_details(openssl_pkey_get_private('file://'.APP.'private.pem'))['key'];
        // 显式指定算法为RS256
        return JWT::encode($data, $key, 'RS256');
    }
}

后续在jwt.io选择RS256算法，签名栏完整粘贴私钥全内容、验签栏完整粘贴公钥全内容，即可生成一致的签名结果。

内容的提问来源于stack exchange，提问作者pepito