node.js - 如何使用 npm Jose 创建已签名的 JWT，然后验证此 token ？

Question

我正在努力理解如何使用 npm jose 模块( https://www.npmjs.com/package/jose )在我的 Node 应用程序中创建和验证签名的 JWT token 。我的场景是这样的:我想签署一个经过身份验证的请求来访问资源。我可以成功地为此请求授予 token 创建一个 JWT 声明，该声明尊重“its”和“aud”、“exp”等的属性，但我想对其进行签名(即，使用 SignJWT 对象和“签名”方法)，以便当它作为请求传回我的服务器时，我可以验证它并授予或拒绝访问权限。
“sign”方法似乎不喜欢我为“key”参数传递的任何东西(我没有传递任何选项——也许我应该这样做，但是什么？)。
我正在尝试使用 RSA key 对。我想用私钥签名并用公钥验证。对于我的迫切需要，我想我可以改用对称 key ，但我正在考虑其他一些 future 的场景，我将需要这种经典的 PKCS 证书 key 关系。无论如何，我认为这个选择与当前阻碍我进步的障碍没有任何关系。
我首先尝试使用 jose/util/generate_key_pair 来创建我的公共(public)/私有(private)对。但是当我去使用 key 时，错误告诉我这不受我的实现支持。所以我转而尝试在我的应用程序之外创建一个“pem”证书并应用它(作为文本)，但也失败了。 “sign”方法报告 key 必须是“KeyLike”、“CryptoKey”或“Uint8Array”类型。好吧，UInt8Array( Node 缓冲区)并没有足够的类型信息:它不说明该缓冲区中的内容，而且“KeyLike”是一个如此模糊的定义，以至于可以忽略。在恳求搜索引擎的预言之后，我发现我可以使用 Node API 中的以下内容创建 CryptoKey 格式的 key 对:

crypto.webcrypto.subtle.generateKey(
    {
        name: 'RSASSA-PKCS1-v1_5',
        modulusLength: 2048,
        publicExponent: new Uint8Array([1, 0, 1]),
        hash: "SHA-256"
    },
    true,
    [‘sign’, ‘verify’]
).then((pair:any) => {
    serverInstance.keyPair = pair
})

但是，当我进入签名部分时: siaToken.sign(serverInstance.keyPair.privateKey).then(signature => {我收到一个报告的异常
“TypeError: CryptoKey 不支持此操作”
考虑到这可能与 generateKey 的“usages”参数有关，我在那里尝试了各种值，但没有成功。
所以，我很困惑。谁能告诉我如何(a)为此目的最好地生成一对 key 以及(b)如何将这些应用于 JWT 签名？

Answer 1

到目前为止，生成 key Material 的最简单方法是使用 generateKeyPair .该方法与运行时无关，只需要一个参数 - 您希望与目标 key 对一起使用的算法标识符。如果您携带自己的 key ，那么您必须了解不同的 requirements用于 key 以便算法可用。
并非每个运行时的加密功能都能支持每种算法，每个运行时的可用算法列表可用 here .
此外 - 导入 SPKI/PKCS8 编码的 key Material 是特定于平台的，并通过特定于平台的 API 完成。以 KeyLike 结束的方式(CryptoKey(网络)、KeyObject( Node )或 Uint8Array(对称 secret )的类型别名记录在 KeyLike alias documentation 中，链接自使用它的每个函数文档。
如果您要为您的步骤提供任何实际的复制代码，我很乐意提供帮助。

The ‘sign’ method reports that the key must be a ‘KeyLike’, ‘CryptoKey’, or ‘Uint8Array’ type.

我很确定它说 KeyObject在运行时，KeyLike 只是一个类型别名，涵盖适用于不同算法和运行时的所有不同类型的输入。