3、JWT签名算法：HS256（对称签名）与RS256（非对称签名）的原理与选择场景

JWT 的签名算法决定了令牌的完整性与可信来源。生产环境中最常见的两种算法是 HS256（HMAC with SHA-256，对称签名）与 RS256（RSA with SHA-256，非对称签名）。理解它们的数学基础、密钥管理差异以及适用场景，是构建安全认证契约的第一步。

3.1 核心原理对比

3.2 对称签名：HS256 工作原理

HS256 使用 HMAC（基于哈希的消息认证码）结合 SHA-256 哈希函数。签名方与验证方必须持有完全相同的 共享密钥。签名过程本质上是将 JWT 的 Header 和 Payload 与密钥混合后进行哈希运算，生成一个固定长度的摘要作为签名。

3.3 非对称签名：RS256 工作原理

RS256 基于 RSA 公钥密码体系。签发服务使用 私钥 对 JWT 签名，任何持有对应 公钥 的第三方服务都可以验证签名的真实性，但无法伪造新的令牌。这种“私钥签名、公钥验签”的分离特性，使得 RS256 天然适合 开放生态 与 多客户端验证 场景。

3.4 算法选择决策流程

以下 SVG 图展示了从系统架构角度选择 HS256 或 RS256 的决策路径：

3.5 安全风险与避坑指南

• 算法混淆攻击：攻击者将 JWT 的 alg 头改为 none 或 HS256（当服务端预期 RS256 时）。务必在验签逻辑中 白名单校验算法类型，拒绝非预期算法。
• 密钥轮换：HS256 的共享密钥应定期轮换（建议 90 天），且轮换期间需保留旧密钥窗口以验证未过期的 Token。RS256 可通过 kid（Key ID）字段支持多公钥轮换。
• 密钥长度：HS256 密钥至少 256 位（32 字节）；RS256 私钥推荐 2048 位以上，低于 1024 位已被认为不安全。

3.6 代码示例：HS256 与 RS256 签名与验签

以下示例使用 Node.js 的 jsonwebtoken 库展示两种算法的核心差异：

// ========== HS256 对称签名 ==========
const jwt = require('jsonwebtoken');
const SECRET = 'your-256-bit-secret-min-32-chars!!';

// 签名
const hsToken = jwt.sign({ userId: 1001, role: 'admin' }, SECRET, { algorithm: 'HS256', expiresIn: '1h' });

// 验签（同一密钥）
const decoded = jwt.verify(hsToken, SECRET, { algorithms: ['HS256'] });
console.log('HS256 验证通过:', decoded);

// ========== RS256 非对称签名 ==========
const fs = require('fs');
const privateKey = fs.readFileSync('./private.pem', 'utf8');
const publicKey = fs.readFileSync('./public.pem', 'utf8');

// 签名（私钥）
const rsToken = jwt.sign({ userId: 1001, role: 'admin' }, privateKey, { algorithm: 'RS256', expiresIn: '1h' });

// 验签（公钥）
const decodedRS = jwt.verify(rsToken, publicKey, { algorithms: ['RS256'] });
console.log('RS256 验证通过:', decodedRS);

3.7 选择场景总结