2、JWT签名算法：HMAC对称签名（HS256/HS384/HS512）、RSA非对称签名（RS256）、ECDSA签名（ES256）

JWT（JSON Web Token）的核心安全基石在于其签名机制。签名算法决定了令牌的防篡改能力和信任模型。根据RFC 7515与RFC 7518标准，JWT支持三类主流签名算法：HMAC对称签名、RSA非对称签名和ECDSA椭圆曲线签名。本章将深入剖析这三种算法的原理、适用场景、安全强度及工程实现要点。

2.1 算法分类与核心差异

JWT签名算法通过alg头字段标识。下表对比了六种常用算法的关键属性：

2.2 HMAC对称签名（HS256/HS384/HS512）

HMAC（Hash-based Message Authentication Code）结合哈希函数与共享密钥，对JWT的Header和Payload进行签名。其数学本质为：

signature = HMAC-SHA256(
    base64url(header) + "." + base64url(payload),
    secret_key
)

工程要点：

• 密钥强度：HS256要求密钥至少256位（32字节），HS384至少384位（48字节），HS512至少512位（64字节）。使用弱密钥（如短字符串）可直接被暴力破解。
• 密钥分发：所有验签方必须持有相同的共享密钥，密钥泄露将导致整个系统信任崩塌。
• 性能优势：HMAC计算仅涉及哈希运算，无大数模幂操作，吞吐量远高于非对称算法。
• 安全风险：无法实现非否认性（Non-repudiation），因为任何持有密钥的节点都可以伪造签名。

2.3 RSA非对称签名（RS256）

RSA签名基于大整数分解难题，使用私钥签名、公钥验签。RS256是RSA与SHA-256哈希的组合，也是目前企业级应用最广泛的JWT签名算法。

签名与验签流程：

// 签名（私钥）
signature = RSA_SIGN(SHA256(header + "." + payload), private_key)

// 验签（公钥）
is_valid = RSA_VERIFY(SHA256(header + "." + payload), signature, public_key)

密钥管理最佳实践：

• 密钥长度：推荐使用2048位RSA密钥，4096位用于极高安全场景。1024位已被认为不安全。
• 公钥分发：通过JWKS（JSON Web Key Set）端点动态发布公钥，支持密钥轮换。
• 私钥保护：私钥必须存储在硬件安全模块（HSM）或密钥管理服务（KMS）中，禁止硬编码在代码仓库。
• 性能考量：RSA验签比HMAC慢约10~100倍，高并发场景下需配合缓存机制。

2.4 ECDSA签名（ES256）

ECDSA（Elliptic Curve Digital Signature Algorithm）基于椭圆曲线离散对数难题，使用更短的密钥提供与RSA相当的安全强度。ES256使用P-256（secp256r1）曲线和SHA-256哈希。

核心优势：

• 签名体积小：ES256签名长度仅64~72字节，远小于RS256的256~512字节，适合HTTP Header传输。
• 计算效率高：同等安全强度下，ECDSA验签速度比RSA快约3~5倍。
• 密钥更短：256位ECDSA密钥提供与3072位RSA密钥相当的安全强度。

注意事项：

• 随机数质量：ECDSA签名需要高质量的随机数（nonce），随机数重复将直接泄露私钥。务必使用安全的随机数生成器（如/dev/urandom）。
• 曲线标准：仅使用NIST P-256（secp256r1）曲线，避免使用secp256k1（比特币曲线）或其他非标准曲线。
• 库兼容性：部分老旧JWT库对ECDSA支持不完善，需确认库版本支持ES256/ES384/ES512。

2.5 算法选择决策流程

下图展示了在不同架构场景下如何选择JWT签名算法：

2.6 算法安全强度对比

下表从密码学安全角度对比各算法的实际安全强度：

2.7 工程实现代码示例

以下展示使用Python的PyJWT库实现三种算法的签名与验签：

import jwt
from cryptography.hazmat.primitives import serialization
from cryptography.hazmat.primitives.asymmetric import rsa, ec

# ========== HS256 对称签名 ==========
secret_key = "your-256-bit-secret-must-be-long-enough-32bytes"
payload = {"sub": "user123", "role": "admin", "iat": 1700000000}

# 签名
hs_token = jwt.encode(payload, secret_key, algorithm="HS256")
print(f"HS256 Token: {hs_token}")

# 验签
try:
    decoded = jwt.decode(hs_token, secret_key, algorithms=["HS256"])
    print(f"HS256 Decoded: {decoded}")
except jwt.InvalidSignatureError:
    print("HS256 签名验证失败")

# ========== RS256 非对称签名 ==========
# 生成RSA密钥对
private_key = rsa.generate_private_key(public_exponent=65537, key_size=2048)
public_key = private_key.public_key()

# 序列化PEM格式
private_pem = private_key.private_bytes(
    encoding=serialization.Encoding.PEM,
    format=serialization.PrivateFormat.PKCS8,
    encryption_algorithm=serialization.NoEncryption()
)
public_pem = public_key.public_bytes(
    encoding=serialization.Encoding.PEM,
    format=serialization.PublicFormat.SubjectPublicKeyInfo
)

# 签名
rs_token = jwt.encode(payload, private_pem, algorithm="RS256")
print(f"RS256 Token: {rs_token}")

# 验签
try:
    decoded = jwt.decode(rs_token, public_pem, algorithms=["RS256"])
    print(f"RS256 Decoded: {decoded}")
except jwt.InvalidSignatureError:
    print("RS256 签名验证失败")

# ========== ES256 ECDSA签名 ==========
# 生成ECDSA P-256密钥对
ec_private_key = ec.generate_private_key(ec.SECP256R1())
ec_public_key = ec_private_key.public_key()

ec_private_pem = ec_private_key.private_bytes(
    encoding=serialization.Encoding.PEM,
    format=serialization.PrivateFormat.PKCS8,
    encryption_algorithm=serialization.NoEncryption()
)
ec_public_pem = ec_public_key.public_bytes(
    encoding=serialization.Encoding.PEM,
    format=serialization.PublicFormat.SubjectPublicKeyInfo
)

# 签名
es_token = jwt.encode(payload, ec_private_pem, algorithm="ES256")
print(f"ES256 Token: {es_token}")

# 验签
try:
    decoded = jwt.decode(es_token, ec_public_pem, algorithms=["ES256"])
    print(f"ES256 Decoded: {decoded}")
except jwt.InvalidSignatureError:
    print("ES256 签名验证失败")

2.8 算法选择与缓存一致性关联

JWT签名算法的选择直接影响缓存验签策略的设计：

• HS256 + 缓存：由于共享密钥，缓存层可以直接验签，但需确保缓存节点与认证服务在同一信任域。
• RS256 + 缓存：缓存层仅需缓存公钥（通过JWKS端点获取），无需接触私钥，安全性更高。公钥缓存建议设置TTL为1小时。
• ES256 + 缓存：签名体积小，适合在缓存键中包含签名信息，减少存储开销。