go - 与公钥和私钥以及 JWT 相关的混淆

Question

我正在 Go 网络服务中试用 JWT(JSON 网络 token )。这是我到目前为止所做的:

package jwt

import(
    "fmt"
    "net/http"
    "github.com/gorilla/mux"
    "github.com/dgrijalva/jwt-go"
    "io/ioutil"
)

var privateKey []byte
var publicKey []byte 

func JSONWebTokensHandler(w http.ResponseWriter, r * http.Request){

    // Create the token
    encodeToken := jwt.New(jwt.SigningMethodHS256)
    // Set some claims
    encodeToken.Claims["Latitude"] = "25.000"
    encodeToken.Claims["Longitude"] = "27.000"
    // Sign and get the complete encoded token as a string
    tokenString, err := encodeToken.SignedString(privateKey)

    decodeToken, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {

        if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
            return nil, fmt.Errorf("Unexpected signing method: %v", token.Header["alg"])
        }

        return publicKey,nil
    })

    if decodeToken.Valid {

        fmt.Fprintf(w,"Lat:  %s, Lng: %s",decodeToken.Claims["Latitude"],decodeToken.Claims["Longitude"])

    }  else {

        fmt.Fprintf(w,"Couldn't handle this token: %s", err)

    }

}

func init(){

    privateKey,_ = ioutil.ReadFile("demo.rsa")
    publicKey,_ = ioutil.ReadFile("demo.rsa.pub")

    r := mux.NewRouter()
    r.HandleFunc("/jwt",JSONWebTokensHandler).Methods("GET")
    http.Handle("/", r)

}

现在，如果我的理解是正确的，那么可以使用公钥对使用私钥编码的 token 进行解码。这就是我在上面的代码中假定的，但是当我运行代码时出现错误:

Couldn't handle this token: signature is invalid

如果我使用相同的 key 进行编码和解码，那么代码就可以工作。

我想知道的是，是我的理解有问题还是代码有问题？

Answer 1

JWT 未使用 RSA 等非对称密码进行签名。它使用 HMAC ，它使用一个单一的 secret key 。事实上，这里的重点不是向其他人证明你签署了 token 。这是为了向自己证明你已经签署了它，从而禁止任何没有你的 key 的人修改 token 。