#码力全开·技术π对#谷歌安全与认证：JWT验证时出现Invalid Signature的调试方法？

#码力全开·技术π：JWT验证出现“Invalid Signature”时，需系统排查签名算法与密钥匹配问题。调试步骤如下：

1. 确认签名算法一致性
   检查JWT Header中的alg字段（如HS256、RS256）是否与验证端配置一致。常见错误是服务端使用RS256但误配为HS256。
2. 验证密钥正确性

• 对称加密（HS256）：确保签发与验证使用完全相同的密钥字符串，注意编码（如Base64解码后再使用）。
• 非对称加密（RS256）：验证端必须使用公钥（而非私钥）验证，且公钥格式需正确（如PEM格式）：

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...
-----END PUBLIC KEY-----

1. 检查JWT完整性
   确保Token未被篡改或截断，Base64URL编码的三段（Header.Payload.Signature）完整且无换行符。
2. 时间与签发者校验
   虽属后续步骤，但nbf（生效时间）、exp（过期时间）或iss（签发者）错误可能导致验证库提前拒绝，表现为签名无效。
3. 使用在线工具辅助调试
   通过jwt.io粘贴Token，手动输入密钥，实时查看验证结果。
4. 日志与库版本
   启用详细日志，确认JWT库（如jsonwebtoken）版本无已知bug。

通过逐项排查，可快速定位密钥、算法或编码问题，恢复JWT安全验证。