3. JWT 签名算法：HS256 对称签名原理、RS256 非对称签名原理、算法选择策略

JWT 的签名算法是保证令牌完整性与可信性的核心。签名算法决定了 Token 在传输过程中是否被篡改，以及接收方能否验证签发方的身份。本章深入剖析最常用的两种算法：HS256（对称签名）与 RS256（非对称签名），并给出生产环境下的算法选择策略。

3.1 HS256 对称签名原理

HS256（HMAC with SHA-256）使用同一个密钥进行签名和验签。签发方和接收方必须事先共享该密钥，且密钥不得泄露。

签名与验签流程

1. 准备输入：将 JWT 的 Header 和 Payload 分别进行 Base64URL 编码，用点号连接。
2. 计算签名：使用 HMAC-SHA256 算法，以共享密钥对上述字符串计算摘要，得到签名。
3. 组装 Token：将签名进行 Base64URL 编码，附加到前两部分之后。
4. 验签：接收方使用相同的共享密钥，对 Header.Payload 重新计算 HMAC，比对结果是否一致。

3.2 RS256 非对称签名原理

RS256（RSA Signature with SHA-256）使用一对密钥：私钥（Private Key）用于签名，公钥（Public Key）用于验签。私钥由签发方保管，公钥可以公开分发给所有接收方。

签名与验签流程

1. 签发方：使用私钥对 Header.Payload 进行 RSA-SHA256 签名。
2. 接收方：使用公钥验证签名，无需持有私钥。
3. 密钥分发：公钥可通过 JWKS（JSON Web Key Set）端点、配置文件或证书方式发布。

3.3 算法选择策略

选择 HS256 还是 RS256 取决于系统架构、安全要求和运维能力。下表从多个维度进行对比：

生产环境推荐策略

• 内部微服务通信：优先使用 HS256，性能高且密钥管理简单（如通过 Kubernetes Secret 共享）。
• 开放 API / 第三方集成：必须使用 RS256，公钥可通过 JWKS 端点动态获取，避免密钥分发风险。
• 多服务 / 多团队：推荐 RS256 + JWKS，每个服务独立管理密钥，支持无感轮换。
• 移动端 / 前端：只能使用 RS256，因为客户端无法安全存储共享密钥。

代码示例：HS256 与 RS256 签名对比（Node.js + jsonwebtoken）

const jwt = require('jsonwebtoken');

// ===== HS256 对称签名 =====
const secret = 'your-256-bit-secret';
const tokenHS = jwt.sign(
  { userId: 123, role: 'admin' },
  secret,
  { algorithm: 'HS256', expiresIn: '1h' }
);
// 验签
const decodedHS = jwt.verify(tokenHS, secret);
console.log('HS256 验签通过:', decodedHS);

// ===== RS256 非对称签名 =====
const fs = require('fs');
const privateKey = fs.readFileSync('private.pem');
const publicKey = fs.readFileSync('public.pem');

const tokenRS = jwt.sign(
  { userId: 456, role: 'user' },
  privateKey,
  { algorithm: 'RS256', expiresIn: '2h' }
);
// 验签
const decodedRS = jwt.verify(tokenRS, publicKey);
console.log('RS256 验签通过:', decodedRS);