3. JWT 签名算法：对称与非对称体系

JWT 的信任基础建立在签名算法之上。签发方使用密钥对 Payload 和 Header 进行签名，接收方验证签名以确认 Token 未被篡改且来源可信。根据密钥管理方式的不同，主流签名算法分为三大类：HMAC 对称签名、RSA 非对称签名和ECDSA 椭圆曲线签名。每类算法在安全性、性能、密钥分发和分布式适用性上存在显著差异。

3.1 HMAC 对称签名（HS256 / HS384 / HS512）

HMAC（Hash-based Message Authentication Code）基于共享密钥的对称签名算法。签发和验证使用同一个密钥，算法将密钥与消息混合后通过哈希函数生成固定长度的签名。

3.1.1 对称签名的优势与局限

• 优势：计算速度快，签名和验证延迟低；实现简单，无需复杂的密钥对管理。
• 局限：密钥必须在签发方和所有验证方之间共享，分布式系统中密钥分发和轮换困难；一旦密钥泄露，攻击者可伪造任意 Token。
• 适用场景：单体应用、内部微服务之间通过可信网络通信、服务实例数较少且密钥可控的环境。

3.2 RSA 非对称签名（RS256 / RS384 / RS512）

RSA 非对称签名使用私钥签名、公钥验证的密钥对机制。签发方持有私钥，任何接收方只需持有公钥即可验证签名，无需共享敏感密钥。

3.2.1 非对称签名的核心优势

• 密钥分离：私钥仅存在于签发服务（如认证中心），验证服务只持有公钥，私钥泄露风险大幅降低。
• 公钥分发：公钥可通过 JWKS（JSON Web Key Set）端点安全分发，支持动态轮换。
• 分布式友好：任意数量的微服务均可独立验证 Token，无需与签发方实时通信。

3.2.2 性能对比

RSA 签名操作（私钥运算）比 HMAC 慢 10-100 倍，但验证操作（公钥运算）相对较快。在分布式鉴权中，验证频率远高于签发频率，因此整体性能可接受。

// RS256 签名示例（Node.js jsonwebtoken 库）
const jwt = require('jsonwebtoken');
const fs = require('fs');

const privateKey = fs.readFileSync('private.pem');
const token = jwt.sign(
  { sub: 'user123', role: 'admin' },
  privateKey,
  { algorithm: 'RS256', expiresIn: '1h' }
);

// 验证方使用公钥
const publicKey = fs.readFileSync('public.pem');
const decoded = jwt.verify(token, publicKey, { algorithms: ['RS256'] });
console.log(decoded.sub); // 'user123'

3.3 ECDSA 椭圆曲线签名（ES256 / ES384 / ES512）

ECDSA（Elliptic Curve Digital Signature Algorithm）基于椭圆曲线密码学的非对称签名算法。相比 RSA，ECDSA 在同等安全强度下使用更短的密钥和更小的签名，计算效率更高。

3.3.1 ECDSA 的分布式优势

• 签名紧凑：64 字节签名（ES256）远小于 256 字节的 RSA 签名，适合高吞吐、低延迟的微服务通信。
• 密钥生成快：椭圆曲线密钥对生成速度比 RSA 快 10 倍以上，适合频繁轮换密钥的场景。
• 计算效率：同等安全强度下，ECDSA 签名和验证速度均优于 RSA。

3.4 三类签名算法对比总览

3.5 签名算法选择决策流程

3.6 分布式鉴权中的算法选型建议

3.6.1 算法迁移路径

如果现有系统使用 HS256，迁移到非对称算法的推荐步骤：

1. 双算法过渡期：签发方同时使用 HS256 和 RS256 签名，验证方接受两种算法。
2. 客户端更新：逐步引导客户端使用新的 RS256 Token。
3. HS256 下线：确认所有客户端迁移完成后，关闭 HS256 签发，仅保留 RS256。
4. 密钥轮换：建立定期轮换私钥的机制，通过 JWKS 端点动态分发公钥。

3.6.2 算法与密钥长度对照