Auth0 java-jwt库无法验证有效令牌

我使用Auth0 java-jwt库来生成JWT令牌，但是一旦生成，我无法验证令牌。Auth0 java-jwt库无法验证有效令牌

这是我用它来生成令牌代码：

final JWTSigner signer = new JWTSigner(secret); 
final HashMap<String, Object> claims = new HashMap<String, Object>(); 
claims.put("user", user); 
claims.put("email", user.getEmail()); 
final String jwt = signer.sign(claims); 
return jwt;

这是我的秘密和令牌（它正确地验证在https://jwt.io/）：

秘密：
sfnd984f94j3fjn

令牌：eyJ0eXBlIjoi SldUIiwiYWxnIjoiSFMyNTYifQ.eyJ1c2VyIjp7ImlkIjoyLCJlbWFpbCI6InNhbnRob3NoQHh5ei5jb20iLCJwYXNzd29yZCI6IiQyYSQxMCRHSlNNRGtRRUEvRVNsRENJcVlud0R1Ly45YWRqRWRQalVvSWVKUmlsSmpSeHh6N2s2Q01xQyIsImZpcnN0X25hbWUiOiJzYW50aG9zaCIsImxhc3RfbmFtZSI6Imt1bWFyIiwic3RhdHVzIjoxLCJ0aXRsZSI6IkFzc29jIiwicm9sZXMiOlt7ImlkIjoxLCJyb2xlIjoiVVNFUiJ9XX0sImVtYWlsIjoic2FudGhvc2hAeHl6LmNvbSJ9.0SHNCgUWOijpYv7xcNoPiCwg_OFZQnsdi5l7YhCsSjU

当我使用相同的JWT令牌使用它失败Auth0方法来验证它（总是以一个签名异常结束）：

try {   
    final JWTVerifier verifier = new JWTVerifier(secret); 
    final Map<String, Object> claims= verifier.verify(jwt); 
    final String email = (String)claims.get("email"); 
    user = userService.loadUserByEmail(email); 
} catch (UsernameNotFoundException e) { 
    // Invalid Token 
} catch (SignatureException e) { 
    System.out.println(e.toString()); 
} catch (IOException e) { 
} catch (Exception e) { 
}

我调试的图书馆，我认为这是问题所在（在JWTVerifier类）：

void verifySignature(String[] pieces, String algorithm) 
    throws NoSuchAlgorithmException, InvalidKeyException, SignatureException { 

    Mac hmac = Mac.getInstance(algorithm); 
    hmac.init(new SecretKeySpec(decoder.decodeBase64(secret), algorithm)); 
    byte[] sig = hmac.doFinal(
     new StringBuilder(pieces[0]).append(".").append(pieces[1]).toString().getBytes()); 

    if (!Arrays.equals(sig, decoder.decodeBase64(pieces[2]))) { 
     throw new SignatureException("signature verification failed"); 
    } 
}

这看起来我错了，因为pieces[1]和pieces[0]与hmac.doFinal，其中为pieces[2]只是普通的base64解码解码。

我的假设是否正确。这是图书馆中的错误还是我错了？

来源

2016-11-21 swordfish

使用的JWTVerifier版本假设你通过秘密Base64url编码，因此它使用它为重点，以验证签名之前自动解码。

鉴于sfnd984f94j3fjn是实际的秘密和你的JWTVerifier版本自动Base64url解码无论你通过它，需要在Base64url编码sfnd984f94j3fjn并通过编码版本JWTVerifier。

事情与此类似：

import org.apache.commons.codec.binary.Base64; 

// ... 

Base64 encoder = new Base64(true); 

encoder.encodeBase64("sfnd984f94j3fjn".getBytes());

你可以看到下面的一行JWTVerifier类的版本的秘密发生的自动解码你使用：

hmac.init(new SecretKeySpec(decoder.decodeBase64(secret), algorithm));

有关此更新的最新版本的库似乎并不假定Base64url编码。

来源

2016-11-22 09:32:24

他们应该更新他们的文档。它不明显。谢谢。 – swordfish

根据[此提交]（https://github.com/auth0/java-jwt/commit/1e6f68764b26f62d39b04da6eca878c0989c6e5a），秘密不再被认为是Base64，因此您使用的版本和在线文档。 –

Auth0 java-jwt库无法验证有效令牌

回答

相关问题