javascript - node.jsでのJWTの検証

Question

このサンプル（.NETで作成）に基づいてnode.jsのJWTトークンを解析および検証しようとしています：https ：//github.com/liveservices/LiveSDK/blob/master/Samples/Asp.net/AuthenticationTokenSample/ JsonWebToken.cs

トークンを検証するノードjsjavascriptは次のとおりです。

var validateSignature = function(key, claims, envelope, signature) {
    var hasher = crypto.createHash('sha256');
    hasher.update(key + "JWTSig");
    var key = hasher.digest('binary');
    var hmac = crypto.createHmac('sha256', key);
    hmac.update(envelope + '.' + claims);
    var out = hmac.digest('base64');
    console.log(out);
    console.log(signature);
    console.log(out === signature);
}

さて、非常に奇妙なことは-それはほとんど機能します。3つのconsole.logステートメントの出力は次のとおりです。

pEwNPJ+LUHBdvNx631UzdyVhPFUOvFY8jG3x/cP81FE=
pEwNPJ-LUHBdvNx631UzdyVhPFUOvFY8jG3x_cP81FE
false

+-/ _ =を除いて、ハッシュが両方とも同じであるのは疑わしいようです。

誰かが私の間違いを見つけますか？私のbase64エンコーディングと関係があります。

アップデート

もう少しプレイしましたが、ここではbase64エンコーディングで何かファンキーなことが起こっているようです。ノードjsの次のコード：

console.log(signature);
var b = new Buffer(signature, 'base64');
console.log(b.toString('base64'));

収量：

pEwNPJ-LUHBdvNx631UzdyVhPFUOvFY8jG3x_cP81FE
pEwNPJLUHBdvNx631UzdyVhPFUOvFY8jG3xcP81F

どちらが非常に奇妙に思えますか？

score 4 · Accepted Answer

コメントして正しい方向に押してくれたTimothyMeadeに感謝します。

ノードのバッファタイプは、+、/、および=で標準のBase64を生成します

ここに記載されているように、URLセーフなbase64エンコーディングがあります：http：//en.wikipedia.org/wiki/Base64

+を-に、/を_に置き換え、=はオプションです。QueryString（d'uh）で渡されるトークンは、URLセーフバージョンです。したがって、違い。

コードは簡単に修正されました：

out = out.replace('+','-').replace('/','_').replace('=','');

score 1 · Accepted Answer

私は少し前にこのライブラリを書きました、私はあなたがコードのいくつかを使うことができると思います。node.jsと最新のブラウザの両方で実行されることになっています。

javascript用のJWTライブラリ

score 0 · Accepted Answer

これはあなたが使おうとしていた正確な方法ではありませんが、NodeJSでJWTを検証するための好ましい方法だと思います。NPMbase64urlライブラリを使用してbase64Url（JWTのデフォルトのエンコーディング）とbase64（NodeJSが検証関数に期待するもの）の間で変換していることに注意してください。

また、署名と検証をそれぞれ行うには、公開キーペアと秘密キーペアが必要であることに注意してください。この投稿の下部に、このJWTの署名と検証に使用された秘密鍵と公開鍵を含めました。

const base64 = require('base64url');
const crypto = require('crypto');
const verifyFunction = crypto.createVerify('RSA-SHA256');
const fs = require('fs');

// The sample JWT from https://jwt.io/
const JWT = 'eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWUsImlhdCI6MTUxNjIzOTAyMn0.POstGetfAytaZS82wHcjoTyoqhMyxXiWdR7Nn7A29DNSl0EiXLdwJ6xC6AfgZWF1bOsS_TuYI3OG85AmiExREkrS6tDfTQ2B3WXlrr-wp5AokiRbz3_oB4OxG-W9KcEEbDRcZc0nH3L7LzYptiy1PtAylQGxHTWZXtGz4ht0bAecBgmpdgXMguEIcoqPJ1n3pIWk_dUZegpqx0Lka21H6XxUTxiy8OcaarA8zdnPUnV6AmNP3ecFawIFYdvJB_cm-GvpCSbr8G8y_Mllj8f4x9nBH8pQux89_6gUY618iYv7tuPWBFfEbLxtF2pZS6YC1aSfLQxeNe8djT9YjpvRZA';

// This just gets the value of the public key (same as the one at bottom of this post)
const PUB_KEY = fs.readFileSync(__dirname + '/id_rsa_pub.pem', 'utf8');

// Split the JWT by `.` to get each part
const jwtHeader = JWT.split('.')[0];
const jwtPayload = JWT.split('.')[1];
const jwtSignature = JWT.split('.')[2];

// We only need the first two pieces to verify
verifyFunction.write(jwtHeader + '.' + jwtPayload);
verifyFunction.end();

// IMPORTANT: NodeJS expects base64 format, not base64url format!
const jwtSignatureBase64 = base64.toBase64(jwtSignature);

// IMPORTANT: You need to specify that the `jwtSignatureBase64` data is base64 format, 
// otherwise, it will default to Buffer format and return false
const signatureIsValid = verifyFunction.verify(PUB_KEY, jwtSignatureBase64, 'base64');

console.log(signatureIsValid); // true

以下のキーは、ここで説明したJWTの例からのものです。

秘密鍵：

公開鍵：

javascript - node.jsでのJWTの検証

3 に答える 3

Related

Reference