生成GitHub安装访问令牌时出现PEM错误

哦，这个问题我之前也碰到过！你猜怎么着？问题出在NodeRSA生成的密钥格式和jwt.sign需要的格式不匹配上——直接把NodeRSA的密钥对象传给jwt.sign是不行的，得先导出成PEM格式的字符串才行。

核心原因 #

jwt.sign使用RS256算法时，要求传入的私钥是PEM格式的字符串，而new NodeRSA({b:512})生成的是NodeRSA的密钥对象，不是直接可用的PEM字符串，这就是为什么手动硬编码PEM私钥能正常工作，而代码生成的不行。

正确的实现步骤 #

1. 生成密钥并导出PEM格式私钥
   你需要显式调用NodeRSA的exportKey方法，指定导出格式为JWT兼容的PKCS8私钥格式：

   const NodeRSA = require('node-rsa');
   const jwt = require('jsonwebtoken');
   
   // 生成RSA密钥对（建议用2048位及以上，512位安全性太低）
   const keyPair = new NodeRSA({ b: 2048 });
   
   // 导出PKCS8格式的PEM私钥，这是jwt.sign需要的格式
   const privateKeyPem = keyPair.exportKey('pkcs8-private-pem');
   
   // 你的JWT载荷
   const payload = { userId: 123, username: 'test' };
   
   // 用导出的PEM私钥签名
   const token = jwt.sign(payload, privateKeyPem, { algorithm: 'RS256' });
   console.log('生成的JWT:', token);
   

2. 验证私钥格式
   打印privateKeyPem，你应该能看到标准的PEM格式：

   -----BEGIN PRIVATE KEY-----
   MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQC...（省略中间内容）
   -----END PRIVATE KEY-----
   

   这个格式和你手动生成的私钥是一致的，这样jwt.sign就能正确识别了。

3. 额外提醒：密钥长度
   512位的RSA密钥现在已经被认为是不安全的，大多数服务都会拒绝这种长度的密钥签名的JWT，建议直接升级到2048位或4096位，修改{b: 2048}即可。

按照这个方法修改后，你的代码应该就能正常生成符合预期的JWT了！

内容的提问来源于stack exchange，提问作者pac