php - JWT RS256 是否需要 OpenSSL？无法在 Php 中解码 JWT

Question

我们的证书是 Comodo Positive SSL。
我们正在尝试使用带有 https://github.com/firebase/php-jwt 的 Php 解码从“使用 Apple Id API 签名”提供的 JWT这个图书馆。当我们运行解码时，它给我们

A PHP Error was encountered
Severity: Warning

Message: openssl_verify(): supplied key param cannot be coerced into a public key

Filename: php-jwt/JWT.php

Line Number: 231

Array ( [status] => [message] => OpenSSL error: error:0906D06C:PEM routines:PEM_read_bio:no start line )

我们不知道该怎么做。如果我们将 RS256 更改为 HS256，它会为我们提供

Array ( [status] => [message] => Algorithm not allowed )

Answer 1

JWT是一个token字符串，由三部分组成，中间用点'.'字符分隔。

每个部分都是 Base64 编码(未加密)，因此您可以通过 Base64 单独解码每个部分来获取每个部分的内容。由于 Base64 编码的数据不包含点 '.' 字符，这使得在任何情况下都可以将其用作分隔符来连接这三个部分。

一旦 JWT 被拆分并且每个单独的部分都经过 Base64 解码，三个子字符串的内容如下:

• 用于签名的算法
• JSON 格式的信息内容
• 签名

因此，为了检索 token 带来的信息，需要:

• 在点 '.' 字符处拆分 JWT
• 对第二部分进行Base64解码

必须考虑到 JWT 中包含的信息不受读取保护，它不受修改保护；因此在不知道证书或加密 key 的情况下能够解码和访问此信息并没有错。

与代币相关的整个过程有三个参与者:

• 颁发者:通常是身份验证 API
• 承载者:通常是 API 客户端应用
• 消费者:通常是需要它响应的 API

token 的第三部分，即签名，是允许消费者确定 token 未被修改的元素，因此，其中包含的信息可以信任，因为已经过检查/提供由发行人。

不期望承载者能够检查 token :它只是期望从验证过程中接收它并将它提供给它想要使用的 API。它最终可以访问内容，这意味着在应用程序的上下文中，接收 token 信息的客户端访问 token 信息不一定构成漏洞。 token 必须通过 protected channel (如 SSL/https)传递给客户端(并发回给消费者)，这是为了保护其他实体对 token 的访问，而不是客户端正在交付 token 。

消费者和发行者通常(但不一定)只是同一应用程序的不同 API 方法。

用于签名的算法可以是对称或非对称加密算法。在第一种情况下，加密 key 必须在发行者和消费者之间共享。尽管这看起来可能是个问题，但在发行者也是消费者(或者至少他们在同一主机中)的情况下(很常见的情况)，情况并非如此。在这种情况下，“共享 secret ”确实没有与任何人共享。

当发行者需要将消费者(一个或多个)分开时，可以使用非对称加密，以便发行者保留私钥，而消费者只拥有公钥。在这种情况下，当然也可以采用对称加密，但“共享 secret ”必须与不同的消费者真正共享，因此如果可以安全地完成和维护，则必须进行评估。