Hyperledger Fabric CA令牌签名验证失败问题排查求助

使用Go语言编写API，通过HTTP客户端与Hyperledger Fabric CA服务器的REST API交互时，发送注册请求遇到服务器无法验证认证令牌签名的问题。生成的令牌符合Fabric CA的swagger规范，以下是相关信息及排查方向：

生成令牌的代码 #

func createFabricCAAuthToken(method, urlPath string, body, certificatePEM, privateKeyPEM []byte) (string, error) {
    // Convert PEM to BCCSP key
    bccsKey, cryptoServiceProvider, err := pemToBCCSPKey(privateKeyPEM)
    if err != nil {
        return "", fmt.Errorf("failed to convert PEM to BCCSP key: %v", err)
    }

    // Use the fabric-ca/utils.GenECDSAToken function
    token, err := fabricCAutils.GenECDSAToken(cryptoServiceProvider, certificatePEM, bccsKey, method, urlPath, body)
    if err != nil {
        return "", fmt.Errorf("failed to generate ECDSA token: %v", err)
    }

    return token, nil
}

func pemToBCCSPKey(privateKeyPEM []byte) (bccsp.Key, bccsp.BCCSP, error) {
    cryptoServiceProvider := factory.GetDefault()

    block, _ := pem.Decode(privateKeyPEM)
    if block == nil {
        return nil, nil, fmt.Errorf("failed to decode PEM block")
    }

    var privateKey any
    var err error
    switch block.Type {
    case "PRIVATE KEY":
        privateKey, err = x509.ParsePKCS8PrivateKey(block.Bytes)
        if err != nil {
            return nil, nil, fmt.Errorf("failed to parse PKCS8 private key: %v", err)
        }
    case "EC PRIVATE KEY":
        privateKey, err = x509.ParseECPrivateKey(block.Bytes)
        if err != nil {
            return nil, nil, fmt.Errorf("failed to parse EC private key: %v", err)
        }
    default:
        return nil, nil, fmt.Errorf("unsupported private key type: %s", block.Type)
    }

    switch pk := privateKey.(type) {
    case *ecdsa.PrivateKey:
        bccsKey, err := cryptoServiceProvider.KeyImport(block.Bytes, &bccsp.ECDSAPrivateKeyImportOpts{Temporary: true})
        if err != nil {
            return nil, nil, fmt.Errorf("failed to import ECDSA private key: %v", err)
        }
        return bccsKey, cryptoServiceProvider, nil
    default:
        return nil, nil, fmt.Errorf("unsupported private key type: %T", pk)
    }
}

CA服务器错误日志 #

2025/06/27 16:26:58 [DEBUG] Received request for /api/v1/register?ca=ca-bsc
2025/06/27 16:26:58 [DEBUG] Caller is using a x509 certificate
2025/06/27 16:26:58 [DEBUG] Failed to verify token based on new authentication header requirements: %!s(<nil>)
2025/06/27 16:26:58 [INFO] 172.19.0.1:49826 POST /api/v1/register?ca=ca-bsc 401 25 "Invalid token in authorization header: Token signature validation failed"
2025/06/27 16:28:51 [DEBUG] Cleaning up expired nonces for CA 'ca-bsc'

传入参数信息 #

• method: POST
• BODY:

{
  "id": "testuser123",
  "secret": "testuser123pw"
  "type": "client", 
  "affiliation": "bsc",
  "caname": "ca-bsc",
}

• urlPath: https://localhost:10055/api/v1/register?ca=ca-bsc
• 密钥和证书：完整PEM格式（包含类型和头部）

排查方向 #

• URL路径格式错误：Fabric CA令牌签名要求urlPath使用相对路径（不含协议、主机和端口），正确值应为/api/v1/register?ca=ca-bsc。完整URL会导致签名内容与服务器验证时的路径不匹配。
• 请求Body格式错误：提供的BODY JSON末尾caname键后多了逗号，属于无效JSON。修正后Body的最后一个键值对不应带逗号，确保客户端签名的Body内容与服务器接收的完全一致。
• 私钥导入方式问题：pemToBCCSPKey函数中，解析私钥后却使用原始PEM字节导入BCCSP，尝试改为使用解析后的*ecdsa.PrivateKey对象导入：

  bccsKey, err := cryptoServiceProvider.KeyImport(pk, &bccsp.ECDSAPrivateKeyImportOpts{Temporary: true})
  

• 证书与私钥不匹配：验证传入的证书和私钥是否属于同一密钥对，可通过对比证书公钥与私钥导出的公钥是否一致来确认。
• BCCSP配置不一致：确保客户端使用的BCCSP配置（哈希算法、椭圆曲线类型）与Fabric CA服务器一致，默认配置为SHA256哈希和P-256曲线。

内容的提问来源于stack exchange，提问作者Fabros