如何用github.com/lestrrat/go-jwx/jwk从内存加载JWK验证JWT

我刚好在无服务器环境（比如AWS Lambda）里用过这个库处理JWK缓存的需求，给你分享几个直接从内存加载已有JWK JSON的实用方法：

方法1：直接解析内存中的JWK JSON字节/字符串 #

如果你已经把JWK的JSON数据存在内存里（比如字符串、字节切片），可以用jwk.Parse()（针对JWK Set）或者jwk.ParseKey()（针对单个JWK密钥）直接解析：

解析JWK Set（最常见的场景） #

import (
  "github.com/lestrrat/go-jwx/jwk"
)

func loadCachedJWKSet() (jwk.Set, error) {
  // 假设你已经从缓存拿到了JWK Set的JSON字符串
  cachedJWKJSON := `{"keys": [{"kty":"RSA","kid":"your-key-id","n":"...","e":"AQAB"}]}`
  
  // 直接将字符串转成字节切片传入Parse方法
  keySet, err := jwk.Parse([]byte(cachedJWKJSON))
  if err != nil {
    return nil, err
  }
  return keySet, nil
}

解析单个JWK密钥 #

如果你的缓存是单个JWK密钥（而非Set），可以用jwk.ParseKey()，之后也可以把它加入Set统一管理：

import (
  "github.com/lestrrat/go-jwx/jwk"
)

func loadCachedSingleJWK() (jwk.Set, error) {
  // 单个JWK密钥的JSON
  singleJWKJSON := `{"kty":"RSA","kid":"your-key-id","n":"...","e":"AQAB"}`
  
  key, err := jwk.ParseKey([]byte(singleJWKJSON))
  if err != nil {
    return nil, err
  }
  
  // 把单个key加入Set，方便后续验证使用
  keySet := jwk.NewSet()
  keySet.Add(key)
  return keySet, nil
}

方法2：结合无服务器环境的缓存最佳实践 #

在无服务器环境中，建议把解析后的jwk.Set存在全局变量里，配合sync.Once确保只初始化一次（避免冷启动重复解析）：

import (
  "github.com/lestrrat/go-jwx/jwk"
  "github.com/lestrrat/go-jwx/jwt"
  "os"
  "sync"
)

var cachedKeySet jwk.Set
var initOnce sync.Once
var initErr error

func getCachedKeySet() (jwk.Set, error) {
  initOnce.Do(func() {
    // 从环境变量/内存缓存中获取预先存储的JWK JSON
    jwkJSON := os.Getenv("CACHED_JWK_JSON")
    cachedKeySet, initErr = jwk.Parse([]byte(jwkJSON))
  })
  return cachedKeySet, initErr
}

// 验证JWT时直接使用缓存的keySet
func validateJWT(tokenStr string) error {
  keySet, err := getCachedKeySet()
  if err != nil {
    return err
  }
  
  _, err = jwt.Parse([]byte(tokenStr), jwt.WithKeySet(keySet))
  return err
}

额外技巧：先从URL加载再缓存JSON #

如果你的初始JWK是从URL获取的，可以先调用jwk.Fetch()拿到Set，再序列化成JSON存起来，后续直接用内存中的JSON解析：

import (
  "context"
  "encoding/json"
  "github.com/lestrrat/go-jwx/jwk"
)

func fetchAndCacheJWK() ([]byte, error) {
  // 第一次从URL加载
  keySet, err := jwk.Fetch(context.Background(), "https://your-issuer/.well-known/jwks.json")
  if err != nil {
    return nil, err
  }
  
  // 序列化成JSON字节，存入缓存（比如全局变量、分布式缓存）
  jwkBytes, err := json.Marshal(keySet)
  return jwkBytes, err
}

内容的提问来源于stack exchange，提问作者user3888307