解析JWT令牌时，在哪里验证JWT密钥？

Question

我正在阅读JWT的示例文件夹，我有点不确定验证令牌的工作原理。

func ExampleNewWithClaims_customClaimsType() {
    mySigningKey := []byte("AllYourBase")

    type MyCustomClaims struct {
        Foo string `json:"foo"`
        jwt.StandardClaims
    }

    // Create the Claims
    claims := MyCustomClaims{
        "bar",
        jwt.StandardClaims{
            ExpiresAt: 15000,
            Issuer:    "test",
        },
    }

    token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
    ss, err := token.SignedString(mySigningKey)
    fmt.Printf("%v %v", ss, err)
    //Output: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJmb28iOiJiYXIiLCJleHAiOjE1MDAwLCJpc3MiOiJ0ZXN0In0.HE7fK0xOQwFEr4WDgRWj4teRPZ6i3GLwD5YCm6Pwu_c <nil>
}

这里直接使用“mySigningKey”在token.signedString(mySigningKey)中签名

现在，对我来说，未解析就不那么清楚了：

func ExampleParseWithClaims_customClaimsType() {
    tokenString := "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJmb28iOiJiYXIiLCJleHAiOjE1MDAwLCJpc3MiOiJ0ZXN0In0.HE7fK0xOQwFEr4WDgRWj4teRPZ6i3GLwD5YCm6Pwu_c"

    type MyCustomClaims struct {
        Foo string `json:"foo"`
        jwt.StandardClaims
    }

    // sample token is expired.  override time so it parses as valid
    at(time.Unix(0, 0), func() {
        token, err := jwt.ParseWithClaims(tokenString, &MyCustomClaims{}, func(token *jwt.Token) (interface{}, error) {
            return []byte("AllYourBase"), nil
        })

        if claims, ok := token.Claims.(*MyCustomClaims); ok && token.Valid {
            fmt.Printf("%v %v", claims.Foo, claims.StandardClaims.ExpiresAt)
        } else {
            fmt.Println(err)
        }
    })

    // Output: bar 15000
}

是为了验证客户端返回的令牌字符串的签名是否有效，您是否需要

• 解码声明（在&MyCustomClaims{}中完成）
• 使用token.valid验证解码声明的签名部分对“令牌中包含的pub密钥”是否有效。

但这个例子只是解码密钥，通过“魔术”返回的是秘密/签名密钥？

这对我来说一点意义都没有。同样，为公钥返回有效的声明也是无用的，因为任何私钥都可以这样做。

我错过了什么？

Answer 1

验证不是由标记中包含的公钥完成的。

HS256是对称的，所以无论您使用什么密钥来签名令牌，您都必须使用相同的密钥来验证签名，这就是所发生的事情。传递给parsewithclaims的函数返回的密钥与标记签名所用的密钥相同。

如果使用非对称签名算法，您将使用私钥对令牌进行签名，然后使用公钥对其进行验证，并且嵌套函数必须返回公钥，以便ParseWithClaims能够对其进行验证。

jwt.ParseWithClaims(tokenString, &MyCustomClaims{}, func(token *jwt.Token) (interface{}, error) {
            return []byte("AllYourBase"), nil
        })

传递给parsewithclaims的嵌套函数应该检查传递的令牌，并返回可用于验证签名的正确密钥。对于HS256，它与用来签名的密钥相同。对于RSxxx，它是公钥，它应该返回的公钥可以从传入的令牌中检索。它通常包含一个公钥id，以便您可以选择正确的密钥。