【问题标题】：Can I remove all break lines except the first and last one from jwt key我可以从 jwt 键中删除除第一个和最后一个之外的所有换行符吗
【发布时间】：2020-05-13 13:22:05
【问题描述】：

我使用以下命令生成了 jwt 密钥（RSA 密钥：私有和公共）

openssl genrsa -out private.key 2048
openssl rsa -in private.key -pubout -out public.key

之后，我创建了一个名为 private2.key 的文件，我给它提供了相同的 private.key 内容（唯一的区别是我删除了除第一个和最后一个之外的所有换行符）

另外，我创建了一个名为 public2.key 的文件，我给它提供了相同的 public.key 内容（唯一的区别是我删除了除第一个和最后一个以外的所有换行符）

private.key：

private2.key：

public.key：

public2.key：

当我使用 private.key 或 private2.key 生成 jwt 并使用 public.key 或 public2.key 验证它时，我得到了成功的结果

const fs = require('fs');
const jwt = require('jsonwebtoken');

const privateKey = fs.readFileSync('./private.key');
const publicKey = fs.readFileSync('./public.key');
const privateKey2 = fs.readFileSync('./private2.key');
const publicKey2 = fs.readFileSync('./public2.key');

const token = jwt.sign({foo: 'bar'}, privateKey, {algorithm: 'RS256'});
console.log(jwt.verify(token, publicKey)); // RESULT IS: { foo: 'bar', iat: 1580192807 }
console.log(jwt.verify(token, publicKey2)); // RESULT IS: { foo: 'bar', iat: 1580192807 }

const token2 = jwt.sign({foo: 'bar'}, privateKey2, {algorithm: 'RS256'});
console.log(jwt.verify(token2, publicKey)); // RESULT IS: { foo: 'bar', iat: 1580192807 }
console.log(jwt.verify(token2, publicKey2)); // RESULT IS: { foo: 'bar', iat: 1580192807 }

我的问题是：从科学上讲，“从 jwt 密钥（RSA 密钥：私有和公共）中删除除第一个和最后一个之外的所有断线”不会影响 jwt，这样安全吗（请提供参考证明你的答案）

所以我可以做到这一点（感觉舒适）

.env

JWT_PRIVATE_KEY=MIIEowIBAAKCAQEAy6fZ1JmG4BX02R2Odj/zso7hJwq7qsTZs6SVcNdiHeDxCRT5UQvTO/qxSIips89iyDTahPjFaquTvmF+oTTOXqA80SYtE8JK2r2/QJ9te5je/7jB8yxrRsp5heZ4uQv9yThygvOTItuHDN+w4Le2QReegunRDnbfTrsogwUmVAyam4qFiBDx3zEoTp98H4lRYB4Mpekt0Z2fh8q4g1vBaJLSc+Vc8MXLXsuQTNZ0x61fV7p93ewJAHlSxNYRdEFuhNMjU7hp2DR6zQqqyEWslFyq0JW6pd7hHjuCSoBcW5e4lrEgZgLspbWbl0rlIOQFizy+IJumXKDmM90WHp2v9wIDAQABAoIBAQDDiSmw4qeJSAuK2sIJ72VAr8amAbwmPlL4FLIXYfUm0u8a1TR8CGqMUCsfhXfK2PfzWivlOCX0QUDdriYzCcyLNjauaYUmT4onc7/JgElSPnj99prhrGhj08vSMHMA2O6W4Mexy8Qd18FXLv9ZA4rN/KuI7o524NOPeEtxYORoFOslq02PBBuPxTToRs2f++px1HOkLQBt+MknLqh/gK+0w4CD3JDc/yM2jH4z8jZw8E33vmMGdj59mjhsVlgvOine0mvZnJRU9BWSsgdtHwnbBIuQBkiXaMWgY83rrP/hSCCcCcKUNyUgxtlWwMcSZrM/gkt2tts7EkRDe8evVvMhAoGBAO0leVSvjQ8NVqNQajV+o6Z58j2WVTOFG4qZWhuQA4O0oNT4Gcf4w+DYLQKntmwQ9ShWciw/f0nJCTknCSo0TVmIl5yhJVtudWlIosMw6YerpK7VW+6xJ53ZkHn+6EGgBEYuJjHXFw+vY3VnOmsqO3yCON2oUtw2RA1/tLkiJqZzAoGBANvYwa5e8dHpdqVKQX1YZFkA1O8y20lDNgGZNz/8qiY21kmMiVAXsTK9wWiF7Uys/jp0btwWY3u/MHpzP/zz0OTcOJ5b9u+NVcSYzF6FrUGGpOrb9Oh124x2UCKL9exsz8xJav4PGfof8uhPGxRSav+DqbmrY+jqVuz1Dn3YnqttAoGAJPPF6DBCpqnJakFJi3RkQ7iUyov2UsTW+c3TgJ/8LDWlKgpO2h4lR4/n05YWkthBmzt9Ju/uAa1VxpYSk4T62Iy0My/ZBlo76V/sHMYuXXmde7C7VoI8ThhsrtXNkwxAHj9qrDF74nHN6algLPqzsj8IZWGpJ689A21217I+m4kCgYA21VdpgHDcJFjdXSn8c4GD2XtCtfKP0V21BFwNb52YrnDAI3dULLSbrUyCH3VSfItkVQoZhtQFV2hmAjzhgIaHro3IobNziFLuGBZRNRJDl6umkHoDSPIblJ7kHviVoYYqs90lxOp7wmA5pRFh/jSFyncYwjDHNTu9Glok9VSN+QKBgDdjjMY41JU21fv2FWvKCwHXJwRSFVT8HNlMC0H9k6x2SZAmhNBtfIlUxY5I5Cnsmkvw2zNxhS2conLAElKqoVSUprv6BvjW+p80dXisctfMTpv/2YM/o0FsIu1ySS+kMK9OAb2kqz9uL38srfN5zdp3FNLrMaE4uRBei8y51D1/
JWT_PUBLIC_KEY=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAy6fZ1JmG4BX02R2Odj/zso7hJwq7qsTZs6SVcNdiHeDxCRT5UQvTO/qxSIips89iyDTahPjFaquTvmF+oTTOXqA80SYtE8JK2r2/QJ9te5je/7jB8yxrRsp5heZ4uQv9yThygvOTItuHDN+w4Le2QReegunRDnbfTrsogwUmVAyam4qFiBDx3zEoTp98H4lRYB4Mpekt0Z2fh8q4g1vBaJLSc+Vc8MXLXsuQTNZ0x61fV7p93ewJAHlSxNYRdEFuhNMjU7hp2DR6zQqqyEWslFyq0JW6pd7hHjuCSoBcW5e4lrEgZgLspbWbl0rlIOQFizy+IJumXKDmM90WHp2v9wIDAQAB

index.js

require('dotenv').config();
const jwt = require('jsonwebtoken');

const privateKey = `-----BEGIN RSA PRIVATE KEY-----\n${process.env.JWT_PRIVATE_KEY}\n-----END RSA PRIVATE KEY-----`;
const publicKey = `-----BEGIN PUBLIC KEY-----\n${process.env.JWT_PUBLIC_KEY}\n-----END PUBLIC KEY-----`;

const token = jwt.sign({foo: 'bar'}, privateKey, {algorithm: 'RS256'});
console.log(jwt.verify(token, publicKey)); // RESULT IS: { foo: 'bar', iat: 1580192822 }

【问题讨论】：

标签： node.js security encryption openssl jwt

【解决方案1】：

视情况而定。

理论上，答案是否 - 您不能总是删除换行符。这仅仅是因为RFC 1421 定义了必须包含换行符的情况：

由字符对 <CR><LF> 分隔的文本行长度不得超过 1000 个字符。

上面的语句在Section 4.3 of RFC 1421，定义PEM格式的文档。

然而，实际上，答案通常是是的：在解析 PEM 格式的对象时，一些常见的实现非常宽松，并且允许过长的文本长度。具体来说，OpenSSL 和 Golang PEM 实现允许这样做（或者，至少长度超过 1000 个字符）。

尝试在删除换行符的情况下在您的一个证书上运行此命令 - 成功：

openssl x509 -text -noout -in certificate.crt

你应该怎么做？

不要担心这个问题，而是将证书存储在应用程序外部。它们应该是配置值并存储在应用程序的外部。更好的是，将此问题委托给旨在处理它的技术 - Azure 有 Key Vault，AWS 有 Certificate Manager 和 KMS。

【讨论】：

如果我要将我的应用程序部署到 digitalocean 上的 ubuntu，你能告诉我如何处理这个问题
@AmjedOmar 究竟是哪个问题？为什么不能将它们留在 PEM 文件中并在启动时加载它们？
因为当我将代码推送到 git 主机时，其他人可以看到它
@AmjedOmar 这些是 configuration 值——它们不应该在 Git 中。这是您的部署管道的一部分 - 它与代码无关。这就是为什么我推荐使用 AWS Certificate Manager 或类似的东西。