PHP中BOX平台JWT服务器认证签名验证失败求助

刚碰到过类似的Box JWT签名问题，给你梳理几个最容易踩的坑和解决方法：

1. 别用普通Base64，必须用Base64URL编码 #

JWT的Header和Payload要求用Base64URL编码，而PHP默认的base64_encode生成的是标准Base64，带+、/、=这些字符，会直接导致签名验证失败。你需要自己实现一个Base64URL编码函数：

function base64UrlEncode($data) {
    return rtrim(strtr(base64_encode($data), '+/', '-_'), '=');
}

// 正确生成Header和Payload的编码字符串
$header = ["alg" => "RS256", "typ" => "JWT", "kid" => "gnkp02u2"];
$headerEncoded = base64UrlEncode(json_encode($header));

$payload = [
    "typ" => "jwt",
    "kid" => "gnkp02u2",
    "iss" => "op63g1amchcxy456oei2tkfk1lg4dbxy",
    "aud" => "https://api.box.com/oauth2/token",
    "jti" => "4f1g23a12aa854rtyuil",
    "exp" => time() + 30,
    "sub" => "your_valid_sub_value" // 这里要填正确的企业ID或用户ID，格式别错
];
$payloadEncoded = base64UrlEncode(json_encode($payload));

2. 签名生成要严格遵循RS256规则 #

签名时要把Header编码.Payload编码这个拼接字符串用你的Box应用私钥进行SHA256withRSA签名，而且私钥必须是你在Box开发者平台上传的公钥对应的配对私钥：

$signatureInput = $headerEncoded . '.' . $payloadEncoded;

// 加载私钥，注意文件路径和权限（建议设为600，避免权限泄露）
$privateKey = openssl_pkey_get_private(file_get_contents('/path/to/your/box_private_key.pem'));

// 生成签名
openssl_sign($signatureInput, $signature, $privateKey, OPENSSL_ALGO_SHA256);

// 签名也要转成Base64URL格式
$signatureEncoded = base64UrlEncode($signature);

// 最终的完整JWT令牌
$jwt = $headerEncoded . '.' . $payloadEncoded . '.' . $signatureEncoded;

3. Payload字段必须完全正确 #

几个关键字段一定要核对：

• exp：必须是Unix时间戳，建议设为当前时间+30~60秒，同时检查你的服务器系统时间是否和Box服务器时间同步（时间偏差超过1分钟就可能验证失败）。
• sub：你的代码里截断了，这个字段必须是enterprise_xxx（企业认证）或user_xxx（用户认证）格式的有效ID，不能随便填。
• iss：必须和你Box应用的Client ID完全一致，就是代码里的op63g1amchcxy456oei2tkfk1lg4dbxy，要确认平台上的配置没写错。
• jti：是唯一的令牌ID，建议用随机字符串，但别重复使用同一个jti值。

4. 验证私钥与平台公钥的配对性 #

很多时候问题出在私钥和平台上的公钥不配对。你可以导出私钥对应的公钥，和Box平台上的公钥对比：

$publicKey = openssl_pkey_get_details($privateKey)['key'];
// 去掉格式符和换行，和平台上的公钥内容对比
echo str_replace(["-----BEGIN PUBLIC KEY-----", "-----END PUBLIC KEY-----", "\n"], "", $publicKey);

如果输出的字符串和平台上的公钥不一致，说明你用错了私钥，重新下载配对的私钥即可。

5. 抓错误信息精准排查 #

如果还是失败，调用Box的token接口时一定要捕获返回的错误响应，比如：

$ch = curl_init('https://api.box.com/oauth2/token');
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, [
    'grant_type' => 'urn:ietf:params:oauth:grant-type:jwt-bearer',
    'assertion' => $jwt,
    'client_id' => 'your_client_id',
    'client_secret' => 'your_client_secret'
]);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
$response = curl_exec($ch);
curl_close($ch);

var_dump(json_decode($response, true));

返回的错误信息（比如invalid signature、expired token、invalid sub）会直接告诉你问题出在哪，比瞎试高效多了。

内容的提问来源于stack exchange，提问作者Abdul Haye