带有密钥的 Android 版 JWT

Question

我必须使用 SHA-256 算法和密钥（例如“blablablamysecretkey”）获取 JWT。

尽管检查了 SO，但有几个库及其文档我还不知道如何执行此操作。

如果我使用这个库https://github.com/jwtk/jjwt（最常用的之一），这是代码示例：

Key key = MacProvider.generateKey();
String s = Jwts.builder().setSubject("stringtoencode").signWith(SignatureAlgorithm.HS512, key).compact();

由于我必须使用 SHA-256 算法，我想我应该使用：

Key key = MacProvider.generateKey();
String s = Jwts.builder().setSubject("stringtoencode").signWith(SignatureAlgorithm.HS256, key).compact();

我的问题是这个示例（以及我顺便看到的所有示例）使用 Key key = MacProvider.generateKey();，如果我没记错，这会生成一个通用密钥。事实上，这就是文档所说的：

// We need a signing key, so we'll create one just for this example. Usually
// the key would be read from your application configuration instead.

所以我的问题是如何将我的密钥（字符串）转换为 Key 类的东西？

Answer 1

MacProvider.generateKey() 生成一个随机密钥，这比使用密码更安全。密钥需要随机选择。如果您想知道如何生成 hmac 密钥，请阅读这篇文章https://security.stackexchange.com/questions/95972/what-are-requirements-for-hmac-secret-key

// 我们需要一个签名密钥，所以我们将为此示例创建一个。通常 // 键将从您的应用程序配置中读取。

您突出显示的文本意味着您必须将密钥保留在服务器中，以便在客户端发送令牌时验证 JWT 签名。 HMAC 密钥是对称的，密钥用于签名和验证

如果您想从密码短语String 生成Key，请使用

byte hmacKey[] = passphrase.getBytes(StandardCharsets.UTF8);
Key key = new SecretKeySpec(hmacKey,signatureAlgorithm.getJcaName());