JWT公钥与私钥签名验证——有什么区别？

Question

我正在使用这个库node jwks rsa从auth0 jwks获取JWT密钥。json文件，以验证我的应用程序在身份验证后检索的id_令牌实际上来自我的身份验证提供程序。

在引擎盖下，它使用此方法构建公钥PEM

export function certToPEM(cert) {
  cert = cert.match(/.{1,64}/g).join('\n');
  cert = `-----BEGIN CERTIFICATE-----\n${cert}\n-----END CERTIFICATE-----\n`;
  return cert;
}

（使用x50c作为. jwks文件中的html" target="_blank">参数）。

然后，我将其与jsonwebToken结合使用，以验证JWT（id_token）是否有效。

这种验证方法与根据jwks的模和指数生成私钥（RSA）有何不同。json文件，并将其用于验证？（示例请参见此库）

此外，这里是作为演示的功能，从mod和指数（取自http://stackoverflow.com/questions/18835132/xml-to-pem-in-node-js）生成PEM

export function rsaPublicKeyToPEM(modulusB64, exponentB64) {
    const modulus = new Buffer(modulusB64, 'base64');
    const exponent = new Buffer(exponentB64, 'base64');
    const modulusHex = prepadSigned(modulus.toString('hex'));
    const exponentHex = prepadSigned(exponent.toString('hex'));
    const modlen = modulusHex.length / 2;
    const explen = exponentHex.length / 2;

    const encodedModlen = encodeLengthHex(modlen);
    const encodedExplen = encodeLengthHex(explen);
    const encodedPubkey = '30' +
      encodeLengthHex(modlen + explen + encodedModlen.length / 2 + encodedExplen.length / 2 + 2) +
      '02' + encodedModlen + modulusHex +
      '02' + encodedExplen + exponentHex;

    const der = new Buffer(encodedPubkey, 'hex')
      .toString('base64');

    let pem = `-----BEGIN RSA PUBLIC KEY-----\n`;
    pem += `${der.match(/.{1,64}/g).join('\n')}`;
    pem += `\n-----END RSA PUBLIC KEY-----\n`;

    return pem;
  };

前面提到的jsonwebToken库可以使用这两种方法验证JWT但是为什么呢？如果这两种验证方法都可以验证JWT签名，为什么它们都存在？他们之间的权衡是什么？一个比另一个更安全吗？我应该用哪个来最充分地验证？

Answer 1

使用RSA非对称密钥对，JWT使用私钥签名，并使用公钥验证。无法使用私钥验证数字签名

模数和指数是公钥的组成部分，您可以使用它以PEM格式构建公钥，PEM格式是以DER二进制格式编码的公钥（模数和指数）的base64表示形式。您可以使用PEM、DER或模数和指数，因为它们包含相同的信息

但是任何人都不能用模和指数来构建私钥。他需要私有RSA元素，这些元素必须保密，这样就没有人可以为您签名。