如何验证在JWT.io上使用Keycloak身份验证提供程序创建的HS256签名JWT令牌

Question

我试图验证在https://JWT.io上使用本地运行的KeyCloak身份验证提供程序生成的HS256 JWT令牌。

KeyCloack实例在我的本地机器上的docker容器中运行。我已经应用了与本答案中描述的几乎相同的步骤（相反，它应用了RS算法，并且按照描述的方式工作）:https://stackoverflow.com/a/55002225/1534753

我的验证过程非常简单：

4.）我从我的KeyCloak实例管理仪表板复制了客户端机密，您可以在下面的图像中看到引用：

5.）我将秘密粘贴到jwt.io上的“验证签名”部分，“编码”令牌部分发生更改，因此导致无效签名和无效（即。不同）令牌。

我的核心问题是我在这里遗漏了什么？为什么当我应用预期的秘密时，令牌会改变！？我运用的秘密是对的吗，来自客户的秘密？如果我正确理解JWT基础结构和标准，那么如果秘密（应用预期的算法）是有效的，它应该保持不变。我的理由是，在KeyCloak上创建JWT是特定的。我没有接触HS256算法提供程序在KeyCloak上，一切都是默认使用docker安装指南使用KeyCloak。与令牌和算法相关的设置被设置为使用HS256，并且在JWT的header部分中正确地指定了预期的算法，在将编码的令牌粘贴到jwt.io页面中后，可以验证该算法。

还有一点要注意的是，我有一个用户“John”，它属于我的“演示”领域。我用他向KeyCloak请求访问令牌。

Answer 1

若要获取用于签名/验证HS256令牌的秘密，请尝试使用以下SQL：

SELECT value FROM component_config CC INNER JOIN component C ON(CC.component_id = C.id) WHERE C.realm_id = '<realm-id-here>' and provider_id = 'hmac-generated' AND CC.name = 'secret';

如果使用得到的秘密来验证令牌，签名应该匹配。我不确定这个秘密是否可以通过UI使用，可能不会。

来源:https://keycloak.discourse.group/t/invalid-signature-with-hs256-token/3228/3