在 Spring Boot 安全性中使用公钥/私钥创建和验证 JWT 签名

Question

我想知道在spring boot security中使用公钥和私钥创建和验证JWT签名的过程。

我正在尝试使用 HMAC 算法验证 JWT 令牌。我正在使用硬编码的秘密“MYSECRET”构建 JWT。

Jwts.builder()
                .setClaims(claims)
                .setSubject(subject)
                .setAudience(audience)
                .setIssuedAt(createdDate)
                .setExpiration(expirationDate)
                .signWith(SignatureAlgorithm.HS512, "MYSECRET")
                .compact()

解析代码如下

Jwts.parser()
                .setSigningKey("MYSECRET")
                .parseClaimsJws(token)
                .getBody();

我不想使用签名密钥作为“MYSECRET”，而是使用公钥和私钥

Answer 1

• 生成 JKS Java KeyStore 文件

让我们首先使用命令行工具 keytool 生成密钥——更具体地说是一个 .jks 文件：

keytool -genkeypair -alias mytest -keyalg RSA -keypass mypass -keystore mytest.jks -storepass mypass

• 导出您的公钥

keytool -list -rfc --keystore mytest.jks | openssl x509 -inform pem -pubkey

使用您的密钥在授权服务器中签署令牌。

@Bean
public JwtAccessTokenConverter accessTokenConverter(){

    JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
    KeyStoreKeyFactory keyStoreKeyFactory = 
      new KeyStoreKeyFactory(new ClassPathResource("mytest.jks"), "mypass".toCharArray());
    converter.setKeyPair(keyStoreKeyFactory.getKeyPair("mytest"));
    return converter;
}

最后在您的资源服务器中使用您的公钥。

@Bean
public JwtAccessTokenConverter accessTokenConverter() {
    JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
    Resource resource = new ClassPathResource("public.txt");
    String publicKey = null;
    try {
        publicKey = IOUtils.toString(resource.getInputStream());
    } catch (final IOException e) {
        throw new RuntimeException(e);
    }
    converter.setVerifierKey(publicKey);
    return converter;
}