JWT Header算法：是“hs256”与“http://www.w3.org/2001/04/xmldsig-more#hmac-sha256”相同

Question

我正在尝试使用 HS256 签署 JWT。我正在使用 System.IdentityModel.Tokens.Jwt 。使用 jwt.io 解码令牌时，我得到 invalid signature 并且我注意到我的标头显示为：

{
  "alg": "http://www.w3.org/2001/04/xmldsig-more#hmac-sha256",
  "typ": "JWT"
}

而不是我预期的{"alg":"HS256","typ":"JWT"}。

这是导致无效签名的原因吗？还有关于修复的任何想法吗？请注意，我还需要包含自定义声明。

var securityKey = new Microsoft.IdentityModel.Tokens.SymmetricSecurityKey(Encoding.UTF8.GetBytes(clientsecret));
var credentials = new Microsoft.IdentityModel.Tokens.SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256Signature);
var header = new JwtHeader(credentials);

Answer 1

SecurityAlgorithms.HmacSha256Signature

改变

SecurityAlgorithms.HmacSha256

Answer 2

您可以使用 System.IdentityModel.Tokens.Jwt 创建您的 JSON Web 令牌 (JWT)，如下所示，它应该正确设置所有字段（secret 是您用来签署 JWT 的密钥）：

var now = DateTime.UtcNow;
var tokenDescriptor = new SecurityTokenDescriptor
{
  Subject = new ClaimsIdentity(new[] { new Claim("sub", "customer") }),
  Issuer = "Who issued the token",
  Claims = new Dictionary<string, object>
  {
    ["email"] = Email, 
  },
  IssuedAt = now,
  NotBefore = now,
  Expires = now + TimeSpan.FromDays(1),
  SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(secret), SecurityAlgorithms.HmacSha256Signature)
};
var tokenHandler = new JwtSecurityTokenHandler();
var token = tokenHandler.CreateToken(tokenDescriptor);
var serializedToken = tokenHandler.WriteToken(token);

serializedToken 终于包含了序列化的 JWT。

请注意，SecurityTokenDescriptorclass 来自same NuGet package 的 Microsoft.IdentityModel.Tokens 命名空间，而不是来自 System.IdentityModel.Tokens 命名空间。