JJWT 생성 된 토큰의 서명이 올바르지 않습니다.

Question

JJWT 라이브러리를 사용하여 JWT 토큰을 생성하고 있습니다. 다음과 같이 토큰을 생성합니다. 내 비밀 키로 더미 값을 사용하고 있습니다.

우리는 토큰이 성공적으로 디코딩 할 수 있지만 jwt.security.key=security-key

@Value("${jwt.security.key}") 
    private String key; 

    @Value("${ws.issuer}") 
    private String issuer; 

    static final long ONE_MINUTE_IN_MILLIS=60000; 

    static final long TOKEN_DURATION_IN_MIN=30L; 

    private SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256; 

    @Override 
    public String issueToken(String userName) { 

     long nowMillis = System.currentTimeMillis(); 
     long expMillis = nowMillis + (ONE_MINUTE_IN_MILLIS * TOKEN_DURATION_IN_MIN); 

     return Jwts 
       .builder() 
       .setId("01") 
       .setIssuedAt(new Date(nowMillis)) 
       .setHeaderParam("typ","JWT") 
       .setSubject(userName) 
       .setIssuer(issuer) 
       .setExpiration(new Date(expMillis)) 
       .signWith(signatureAlgorithm, key).compact(); 

    } 

있다고 가정 할 수 있습니다. jwt.io 디버거에서 서명 할 때마다 잘못된 서명이 항상 발생합니다. 어떤 볼 수 here.

Answer 1

security-key은 유효한 Base64 인코딩 문자열이 아닙니다.

또한

/** 
* Signs the constructed JWT using the specified algorithm with the specified key, producing a JWS. 
* 
* <p>This is a convenience method: the string argument is first BASE64-decoded to a byte array and this resulting 
* byte array is used to invoke {@link #signWith(SignatureAlgorithm, byte[])}.</p> 
* 
* @param alg     the JWS algorithm to use to digitally sign the JWT, thereby producing a JWS. 
* @param base64EncodedSecretKey the BASE64-encoded algorithm-specific signing key to use to digitally sign the 
*        JWT. 
* @return the builder for method chaining. 
*/ 
JwtBuilder signWith(SignatureAlgorithm alg, String base64EncodedSecretKey); 

, 왜 jwt.io가 파손 될 수 있음을 고려하지 : JavaDoc을하고 signWith(SignatureAlgorithm, String) 메소드의 인수 이름을 읽어? 그것은 권위있는 jwt 도구가 아닙니다.

마지막으로 평문 문자열이나 임의의 문자열을 서명 키로 사용해서는 안됩니다. 디지털 서명은 항상 바이트 배열로 계산됩니다. 암호화를 안전하게하려면 항상 사용하는 서명 알고리즘에 충분한 길이의 보안 임의 바이트 배열을 사용해야합니다.

충분히 길고 강한 키를 생성하려면 JJWT의 MacProvider.generateKey 메소드를보십시오.

jwt.io 사이트는이 사실을 분명히하지 않으므로 오해의 소지가 있습니다. 이전 문자열을 서명 키로 사용할 수 있음을 의미합니다. 기술적으로는 일 수 있지만 분명히해서는 안됩니다. 문자열로 표현할 필요가 있다면 Base64로 인코딩 된 보안 임의 바이트 배열을 항상 사용해야합니다. 이것이 String을 키로 받아들이는 JJWT의 메소드가 Base64로 인코딩되었다고 가정하는 이유입니다. 그렇지 않으면 유효하지 않거나 형식이 잘못된 키를 사용하고 있기 때문입니다.