3. JWT 签名算法：HMAC、RSA 与 ECDSA 原理与选择

JWT 的核心安全机制在于签名。签名算法决定了 Token 的防篡改能力和信任模型。本章深入剖析三种主流签名算法：HMAC（对称）、RSA（非对称） 和 ECDSA（椭圆曲线），帮助你在分布式系统中做出正确选择。

3.1 签名算法概览与核心差异

JWT 标准（RFC 7519）定义了多种签名算法，通过 alg 头部字段标识。下表对比了三种最常用的算法族：

3.2 HMAC 对称签名：简单高效的共享秘密

HMAC（Hash-based Message Authentication Code）使用同一个密钥进行签名和验证。签名方和验证方必须事先共享这个密钥。

3.2.1 工作原理

1. 准备数据： 将 JWT 的 Header 和 Payload 分别进行 Base64URL 编码，用点号连接。
2. 计算签名： 使用 HMAC 算法（如 HMAC-SHA256）和共享密钥对上述数据进行哈希运算，生成签名。
3. 验证： 接收方使用相同的密钥和算法重新计算签名，比对是否一致。

3.2.2 代码示例（Node.js）

const crypto = require('crypto');

// 共享密钥（必须安全存储）
const SECRET_KEY = 'your-256-bit-secret';

// 签名
function signJWT(header, payload) {
  const headerBase64 = Buffer.from(JSON.stringify(header)).toString('base64url');
  const payloadBase64 = Buffer.from(JSON.stringify(payload)).toString('base64url');
  const data = `${headerBase64}.${payloadBase64}`;
  const signature = crypto.createHmac('sha256', SECRET_KEY).update(data).digest('base64url');
  return `${data}.${signature}`;
}

// 验证
function verifyJWT(token) {
  const parts = token.split('.');
  if (parts.length !== 3) return false;
  const data = `${parts[0]}.${parts[1]}`;
  const expectedSig = crypto.createHmac('sha256', SECRET_KEY).update(data).digest('base64url');
  return expectedSig === parts[2];
}

3.3 RSA 非对称签名：公钥验证的信任基石

RSA 使用一对密钥：私钥 用于签名，公钥 用于验证。私钥必须严格保密，公钥可以安全地分发给任何需要验证 Token 的服务。

3.3.1 工作原理

1. 签名方（认证服务）： 使用私钥对 JWT 数据进行 RSA 签名。
2. 验证方（资源服务）： 使用公钥验证签名，无需知道私钥。
3. 密钥分发： 公钥可通过 JWKS（JSON Web Key Set）端点公开获取。

3.3.2 代码示例（Node.js）

const crypto = require('crypto');

// 生成密钥对（生产环境使用 KMS 或安全存储）
const { publicKey, privateKey } = crypto.generateKeyPairSync('rsa', {
  modulusLength: 2048,
  publicKeyEncoding: { type: 'spki', format: 'pem' },
  privateKeyEncoding: { type: 'pkcs8', format: 'pem' }
});

// 签名（使用私钥）
function signRSA(header, payload) {
  const headerBase64 = Buffer.from(JSON.stringify(header)).toString('base64url');
  const payloadBase64 = Buffer.from(JSON.stringify(payload)).toString('base64url');
  const data = `${headerBase64}.${payloadBase64}`;
  const signature = crypto.sign('sha256', Buffer.from(data), privateKey).toString('base64url');
  return `${data}.${signature}`;
}

// 验证（使用公钥）
function verifyRSA(token) {
  const parts = token.split('.');
  if (parts.length !== 3) return false;
  const data = `${parts[0]}.${parts[1]}`;
  return crypto.verify('sha256', Buffer.from(data), publicKey, Buffer.from(parts[2], 'base64url'));
}

3.4 ECDSA 椭圆曲线签名：高性能的现代选择

ECDSA（Elliptic Curve Digital Signature Algorithm）基于椭圆曲线密码学，在相同安全强度下，密钥更短、签名更小、计算更快。推荐使用 P-256（ES256） 曲线。

3.4.1 与 RSA 的对比优势

3.4.2 代码示例（Node.js）

const crypto = require('crypto');

// 生成 ECDSA P-256 密钥对
const { publicKey, privateKey } = crypto.generateKeyPairSync('ec', {
  namedCurve: 'P-256',
  publicKeyEncoding: { type: 'spki', format: 'pem' },
  privateKeyEncoding: { type: 'pkcs8', format: 'pem' }
});

// 签名
function signECDSA(header, payload) {
  const headerBase64 = Buffer.from(JSON.stringify(header)).toString('base64url');
  const payloadBase64 = Buffer.from(JSON.stringify(payload)).toString('base64url');
  const data = `${headerBase64}.${payloadBase64}`;
  const signature = crypto.sign('sha256', Buffer.from(data), privateKey).toString('base64url');
  return `${data}.${signature}`;
}

// 验证
function verifyECDSA(token) {
  const parts = token.split('.');
  if (parts.length !== 3) return false;
  const data = `${parts[0]}.${parts[1]}`;
  return crypto.verify('sha256', Buffer.from(data), publicKey, Buffer.from(parts[2], 'base64url'));
}

3.5 签名算法选择决策流程

下图展示了在分布式系统中选择 JWT 签名算法的决策路径：

3.6 算法选择实战建议

3.7 常见安全陷阱与避坑指南