NodeJS Crypto RS-SHA256和JWT承载

Question

在使用passport和oauth2orize实现oauth2堆栈时，在这种情况下，问题具体在于使用oauth2orize jwt承载。oauth2orize jwt承载器在让一切正常运行方面非常出色，但是它标记了RSA SHA片段。

在尝试为RSA SHA加密处理做好准备时，我无法获得作为验证器验证的签名。验证似乎总是返回false。如果有人已经越过了这个障碍，那么一点帮助就太好了。

我所做的工作：创建私钥/公钥：

openssl genrsa -out private.pem 1024
//extract public key
openssl rsa -in private.pem -out public.pem -outform PEM -pubout

现在要签名的数据：

{"alg":"RS256","typ":"JWT"}{"iss": "myclient"}

关于如何签名，我尝试了多种方法，这里列出的方法太多了，但我对正确签名的理解是对这些项的bas64编码进行签名，所以我在{“alg”：“RS256”，“typ”：“JWT”}上运行base64，在{“iss”：“myclient”}上运行base64，然后在这些编码上运行base64。因此，结果是：eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9 eyJpc3MiOiAibXljbGllbnQifQ然后编码：

{eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9}.{eyJpc3MiOiAibXljbGllbnQifQ}

这给了我：e2V5SmhiR2NpT2lKU1V6STFOaUlzSW5SNWNDSTZJa3BYVkNKOX0ue2V5SnBjM01pT2lBaWJYbGpiR2xsYm5RaWZRfQ

此时，我通过执行以下操作签署上述base64：

openssl sha -sha256 -sign priv.pem < signThis > signedData

然后在此基础上运行base64，以获取要传递到断言签名部分的数据。然后我传入对象：

{
"grant_type": "urn:ietf:params:oauth:grant-type:jwt-bearer",
"assertion":  "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiAibXljbGllbnQifQ.signedData"
}

现在，在代码库中，我有：

var crypto = require('crypto')
   , fs = require('fs')
   , pub = fs.readFileSync('/path/to/pub.pem')
   , verifier = crypto.createVerify("RSA-SHA256");

verifier.update(JSON.stringify(data));

var result = verifier.verify(pub, signature, 'base64');
console.log('vf: ', result);

然而，结果总是错误的。

我确实正确地接收了数据，代码中的签名变量与我传递的内容相匹配，我总是接收到false，并且已经用尽了我能想到的关于如何调整它以获得验证器的所有选项。验证以返回true。感谢您的时间和帮助！




Answer 1

我认为这个代码示例是完全不安全的。如果查看最新的JWT代码，它不会在解码调用中使用该密码。

https://github.com/hokaccha/node-jwt-simple/blob/master/lib/jwt.js

它基本上只是解码第二段并返回它，这意味着任何人都可能更改了值并且没有得到验证。

Answer 2

我不确定这是否正是您正在寻找的，但这将使用jwt-Simple（使用加密等）以谷歌api方式成功创建JWT：

var fs       = require('fs')
  , jwt      = require('jwt-simple')
  , keypath  = '/path/to/your.pem'
  , secret   = fs.readFileSync( keypath, { encoding: 'ascii' })
  , now      = Date.now()
  , payload  = {
        scope: 'https://www.googleapis.com/auth/<service>',
        iss  : '<iss_id>@developer.gserviceaccount.com',
        aud  : 'https://accounts.google.com/o/oauth2/token',
        iat  : now,
        exp  : now+3600
    }
  , token    = jwt.encode( payload, secret, 'RS256' )
  , decoded  = jwt.decode( token, secret, 'RS256' );

console.log( token );
console.log( decoded );