无法使用google kms生成有效的jwt签名

Question

我正在使用谷歌KMS(https://cloud.google.com/kms/)使用非对称签名密钥对节点中的JSON Web令牌（jwt）进行签名。js应用程序。

我能够创建标头和有效载荷，并与谷歌KMS nodejs库（https://github.com/googleapis/nodejs-kms）我可以签署令牌。

但似乎生成的令牌无效。

事实上，我正在执行以下步骤来生成令牌：

1. 将jwt头定义为对象
2. jwt头对象到字符串
3. base64url编码jwt头字符串
4. 将jwt有效负载定义为对象
5. jwt有效负载对象到字符串
6. base64url编码jwt有效负载字符串
7. 连接（header.payload）
8. 将字符串解码为base64字节数组
9. 在字节数组上创建sha256哈希
10. 从google kms中选择非对称密钥
11. 使用非对称密钥获取签名字节数组
12. 对签名使用base64url编码
13. 生成令牌（header.payload.signature）

此令牌总是带来错误（无效签名）。看https://jwt.io/

验证令牌的公钥：

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAmv3Slq7ofruWhFRXmnvt
/4WQuoJtoF2UQMtXmsZAZSODalklN21lV9t1ECAXOyOQX7E2QF8RZfJow5ImeTM5
WWHDhvFcg1/rI6bPIkkp4+Lu4Ljo8IIfYkEbIHt8+yOumEqiA1cvBR1TbojHMl4C
XW8jS4y4g7U6ZNYqKxOh9yvX6yUE0WRSzffRNVvx+Z5SNpmyjOXH/8A8e9BpG8tl
tAwdbtLd7Z+hcr60IERSWgqxnzUwzFWqdo4VNgLG68b1lKocbL8f0SnZiG0huyh0
tUEntR7PFWDePc2fOJmY9N9phgoD5FQjUQQiNipZi/Jw/z/BUz+utmQHwHNqyvCQ
ZQIDAQAB
-----END PUBLIC KEY-----

构建jwt的代码如下：

const kms = require('@google-cloud/kms');
const crypto = require('crypto');
const base64url = require('base64url');

async function main() {
    const client = new kms.KeyManagementServiceClient({
        keyFilename: "./googleCloudKey.json"
    });

    const projectId = '...';
    const locationId = 'europe';
    const keyRingId = '...';
    const cryptoKeyId = '...';
    const cryptoKeyVersion = '1';

    const header = base64url(JSON.stringify({
        "alg": "RS256",
        "typ": "JWT",
        "issuer": "login.myapp.com",
        "audience": "*.myapp.com"
    }));
    const payload = base64url(JSON.stringify({
        "userId": "1234567890",
        "userName": "John Doe"
    }));

    const digest = crypto.createHash("sha256").update(Buffer.from(`${header}.${payload}`, "base64")).digest("base64");
    const name = client.cryptoKeyVersionPath(
        projectId,
        locationId,
        keyRingId,
        cryptoKeyId,
        cryptoKeyVersion
    );

    try {
        const result = await client.asymmetricSign({
            name: name, 
            digest: {
                sha256: digest
            }
        });

        const signature = base64url.fromBase64(result[0].signature.toString("base64"));

        console.log("====== HEADER =====");
        console.log(header);
        console.log();
        console.log("====== PAYLOAD =====");
        console.log(payload);
        console.log();
        console.log("====== SIGNATURE =====");
        console.log(signature);
        console.log();
        console.log();
        console.log("===== JWT =====");
        console.log(`${header}.${payload}.${signature}`);
    } catch(e) {
        console.error(e);
    }
}


main().catch(console.error);

生成的令牌如下（=最后一个console.log的输出）：

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsImlzc3VlciI6ImxvZ2luLm15YXBwLmNvbSIsImF1ZGllbmNlIjoiKi5teWFwcC5jb20ifQ.eyJ1c2VySWQiOiIxMjM0NTY3ODkwIiwidXNlck5hbWUiOiJKb2huIERvZSJ9.WVdM2NT5IGYKuCMV393yD7grA4GyVIrorL2OF-MHcRZESwPC3bOZIsx254IkMDInFyui74N6qEpHIe6UpR1JeuojMaGEANvSE0TtFpYgykU7xORmVEsjuZSYyKeEaTPAMwmXVPEKi5gQA9qlfQjTXE-h1xWYt2N3-pj2IHcgpgC-tarN1_TLNxZ5it2TrfpfGztI13L5WHYEFidExde9sxasvJsHZR3ax0wnoPn9V9rfqdXrEtG6-cdi9PAQprQClVOETtvpZNcCZpIlciHsaYBla5JjowbUmecSjQ54F-CuOggxvGvy16uG9p93ETlUyAknPTCGaMf9URyKkssYaw

Answer 1

在此片段中：

Buffer.from(`${header}.${payload}`, "base64")

您正在对标头和有效负载的串联进行base64解码。但是JWS规范并不要求这样做。https://www.rfc-editor.org/rfc/rfc7515#section-5.1