使用java-jwt库基于RSA256验签求助：仅持ssh-rsa公钥字符串

Got it! 你完全不需要私钥来完成JWT验签——毕竟验签的逻辑就是用公钥验证签名的合法性，私钥只在生成JWT签名的时候才会用到。下面是具体的可行方案，分步骤来：

1. 先把ssh-rsa格式的公钥转换成Java的PublicKey对象 #

java-jwt库不直接接受ssh-rsa格式的字符串，我们需要先把它转换成标准的java.security.PublicKey实例。这里可以写一个工具方法来处理：

import java.security.KeyFactory;
import java.security.PublicKey;
import java.security.spec.X509EncodedKeySpec;
import java.util.Base64;

public class SshRsaKeyConverter {
    public static PublicKey convertSshRsaToPublicKey(String sshRsaPublicKey) throws Exception {
        // 提取ssh-rsa公钥的核心Base64部分（去掉开头的"ssh-rsa "和结尾的注释）
        String keyContent = sshRsaPublicKey.replaceFirst("ssh-rsa ", "").split("\\s+")[0];
        
        // Base64解码
        byte[] decodedKey = Base64.getDecoder().decode(keyContent);
        
        // 生成X509规范的密钥规格，再构建PublicKey
        X509EncodedKeySpec keySpec = new X509EncodedKeySpec(decodedKey);
        KeyFactory keyFactory = KeyFactory.getInstance("RSA");
        return keyFactory.generatePublic(keySpec);
    }
}

2. 用转换后的公钥进行JWT验签 #

初始化Algorithm时，只需要传入公钥，私钥传null即可（库会自动忽略私钥，只用公钥做验签）。完整的验签代码如下：

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;
import java.security.PublicKey;

public class JwtRsaVerifier {
    public static void main(String[] args) {
        String yourJwtToken = "你的JWT Token字符串";
        String yourSshRsaPublicKey = "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQD... 你的完整公钥字符串";

        try {
            // 转换ssh-rsa公钥为Java PublicKey
            PublicKey publicKey = SshRsaKeyConverter.convertSshRsaToPublicKey(yourSshRsaPublicKey);
            
            // 初始化RSA256算法，私钥传null
            Algorithm algorithm = Algorithm.RSA256(publicKey, null);
            
            // 创建验证器，按需添加校验规则（比如issuer，不需要的话可以去掉）
            JWTVerifier verifier = JWT.require(algorithm)
                    .withIssuer("auth0") // 替换为你的JWT实际的issuer值
                    .build();
            
            // 执行验签，成功则返回解码后的JWT，失败会抛出异常
            DecodedJWT decodedJWT = verifier.verify(yourJwtToken);
            
            // 验签成功，获取JWT中的Claims
            System.out.println("验签成功！Issuer: " + decodedJWT.getIssuer());
            System.out.println("Subject: " + decodedJWT.getSubject());
            // 其他自定义Claims可以用decodedJWT.getClaim("claimKey").asXXX()获取

        } catch (Exception e) {
            // 处理验签失败的情况（比如签名无效、token过期、格式错误等）
            System.err.println("验签失败：" + e.getMessage());
            e.printStackTrace();
        }
    }
}

关键注意事项 #

• 私钥不需要：验签过程只依赖公钥，所以初始化Algorithm.RSA256时私钥传null完全合法，库内部只会使用公钥进行签名验证。
• 异常处理：verifier.verify(token)会在多种失败场景下抛出异常，比如SignatureVerificationException（签名无效）、TokenExpiredException（token过期）、InvalidClaimException（声明不匹配）等，建议根据业务需求针对性处理这些异常。
• 公钥格式校验：如果转换公钥时出错，大概率是原始ssh-rsa字符串格式不正确，请确保公钥是完整的、没有多余换行或空格的有效字符串。

内容的提问来源于stack exchange，提问作者user9607509