如何使用Node.js为Google服务账号创建有效的JWT？

我注意到你已经用Java成功生成了能通过验证的服务账号JWT，但Node.js版本却返回401未授权，而且你确认Header和Payload内容和Java版本一致——那问题大概率出在两个关键细节上：

1. 修正aud（受众）字段的取值 #

Google服务账号JWT的aud字段必须严格匹配目标API的官方受众地址。你之前的代码里用了https://${SERVICE_NAME}/${API_NAME}的自定义格式，但针对Bigtable Admin API，正确的aud值应该是https://bigtableadmin.googleapis.com/。

2. 确保私钥格式正确 #

从JSON配置文件读取私钥时，有时候会出现换行符被转义成\n的情况，这会导致签名无效。我们需要把这些转义字符还原成真实的换行符。

修正后的Node.js代码 #

const jwt = require('jsonwebtoken');
const fs = require('fs');

const TOKEN_DURATION_IN_SECONDS = 3600;

// 建议通过文件读取加载配置，避免模块导入路径的潜在问题
const serviceAccount = JSON.parse(fs.readFileSync('path/to/service-account.json', 'utf8'));

const issueJWT = () => {
  const issuedAt = Math.floor(Date.now() / 1000);
  return jwt.sign(
    {
      'iss': serviceAccount.client_email,
      'sub': serviceAccount.client_email,
      // 替换为Bigtable Admin API的正确受众地址
      'aud': 'https://bigtableadmin.googleapis.com/',
      'iat': issuedAt,
      'exp': issuedAt + TOKEN_DURATION_IN_SECONDS,
      // 可选：添加API所需的权限范围，Bigtable Admin需要这个scope
      'scope': 'https://www.googleapis.com/auth/bigtable.admin'
    },
    // 修复私钥的换行符问题
    serviceAccount.private_key.replace(/\\n/g, '\n'),
    {
      algorithm: 'RS256',
      header: {
        'kid': serviceAccount.private_key_id,
        'typ': 'JWT',
        'alg': 'RS256',
      },
    }
  );
};

验证操作 #

1. 生成JWT后，用解码工具确认aud、scope等字段是否正确
2. 用修正后的JWT重新发起请求：

curl --header "Authorization: Bearer {jwt-from-node-fixed}" https://bigtableadmin.googleapis.com/v2/projects/{project-name}/instances -v

为什么Java版本能正常工作？ #

Java的GoogleCredential库会自动适配目标API的受众地址和权限范围，不需要手动指定这些细节；但Node.js的jsonwebtoken是通用JWT库，必须严格按照Google服务账号的JWT规范手动配置所有必填字段，这就是两者的核心差异。

内容的提问来源于stack exchange，提问作者McMerphy