求助：JWT签名无效（SignatureVerificationException）及密钥配置问题排查

这个问题我之前排查过好几次，大概率是Base64密钥的处理逻辑搞反了，或者代码里的密钥处理和jwt.io的设置不匹配，给你梳理几个排查方向：

1. 搞清楚jwt.io中"secret base64 encoded"的含义 #

这个选项最容易被误解：它表示你输入的密钥本身已经是Base64编码后的结果，而不是让你对原始密钥进行Base64编码。

• 如果你的密钥是明文字符串（比如my-strong-secret），不要勾选这个选项，直接输入明文即可；
• 如果你的密钥是通过Base64编码得到的字符串（比如对应上面明文的bXktc3Ryb25nLXNlY3JldA==），才需要勾选这个选项。

很多人会犯的错误是：明明用的是明文密钥，却勾选了这个选项，或者反过来，导致两边的签名计算逻辑不一致，最终验证失败。

2. 检查代码中的密钥处理逻辑 #

使用Auth0的JWT库时，密钥的处理必须和jwt.io的设置对应：

• 情况一：明文密钥，jwt.io未勾选base64选项
  直接将明文字符串传入HMAC算法：

  String plainSecret = "my-strong-secret";
  Algorithm algorithm = Algorithm.HMAC256(plainSecret);
  JWTVerifier verifier = JWT.require(algorithm).build();
  verifier.verify(yourToken);
  

• 情况二：Base64编码后的密钥，jwt.io勾选了base64选项
  需要先将Base64字符串解码为原始字节数组，再传入算法：

  String base64Secret = "bXktc3Ryb25nLXNlY3JldA==";
  byte[] secretBytes = Base64.getDecoder().decode(base64Secret);
  Algorithm algorithm = Algorithm.HMAC256(secretBytes);
  JWTVerifier verifier = JWT.require(algorithm).build();
  verifier.verify(yourToken);
  

  如果你直接把Base64字符串传入Algorithm.HMAC256()，相当于把编码后的字符串当作明文密钥，自然和jwt.io的验证结果不匹配。

3. 确认密钥的绝对一致性 #

• 检查生成Token时使用的密钥和验证时的密钥是否完全一致，包括大小写、特殊字符、末尾的空格/换行符；
• 复制粘贴密钥时，注意不要引入额外的隐形字符（比如Windows下的换行符\r\n和Linux下的\n差异）。

4. 验证Token本身的完整性 #

把你的Token复制到jwt.io，检查Header和Payload是否能正常解析，没有乱码或格式错误。如果Token在传输过程中被篡改（比如URL编码/解码错误），也会导致签名验证失败。

内容的提问来源于stack exchange，提问作者App2015