使用 ECDSA 私钥生成 JWT Token 的正确方法-java教程-PHP中文网

使用 ECDSA 私钥生成 JWT Token 的正确方法

霞舞

发布： 2025-10-09 09:51:02

原创

670人浏览过

使用 ecdsa 私钥生成 jwt token 的正确方法

本文将指导开发者如何使用 Java 和 BouncyCastle 库，基于 ECDSA 私钥正确生成符合规范的 JWT (JSON Web Token)。文章详细介绍了密钥格式转换、曲线选择等关键步骤，并提供了代码示例，帮助开发者避免常见的错误，确保生成的 JWT 能够被可靠地验证和使用。

在使用 ECDSA 私钥生成 JWT 时，容易遇到密钥格式不正确、使用的椭圆曲线不符合规范等问题。以下将详细介绍正确的生成步骤，并提供代码示例。

1. 密钥格式转换

Java 的 PKCS8EncodedKeySpec 类需要 PKCS8 格式的密钥。如果你的私钥是 SEC1/RFC5915 格式（通常以 "-----BEGIN EC PRIVATE KEY-----" 开头），需要将其转换为 PKCS8 格式（以 "-----BEGIN PRIVATE KEY-----" 开头）。

可以使用 OpenSSL 进行转换：

openssl pkey <ecprivate-sec1 >ecprivate-pkcs8

登录后复制

或者，如果你的 OpenSSL 版本较旧，可以使用：

openssl pkcs8 -topk8 -nocrypt -in ecprivate-sec1 -out ecprivate-pkcs8

登录后复制

2. 使用 BouncyCastle 处理 SEC1 格式密钥 (可选)

如果你的项目引入了 BouncyCastle (包括 bcpkix 依赖)，可以直接处理 SEC1 格式的密钥，无需使用 OpenSSL 转换。

import org.bouncycastle.asn1.pkcs.PrivateKeyInfo;
import org.bouncycastle.openssl.PEMParser;
import org.bouncycastle.openssl.jcajce.JcaPEMKeyConverter;
import java.io.StringReader;
import java.security.PrivateKey;

// 你的 SEC1 格式私钥字符串
String EC_PRIVATE_KEY_STR = "-----BEGIN EC PRIVATE KEY-----
"
        + "MHQCAQEEIBuSmY4MFZ938j0sno1nOICb0ScfIebC1O7DXkvf6UDMoAcGBSuBBAAK
"
        + "oUQDQgAELAWORZuUv+lpO34bVoYHv6T3Gey+GtuHFB+TH1+l0tRKfKELHcmHlDOK
"
        + "ebiIegDVhHd6jYx2yT1nOBddjDHCVw==
"
        + "-----END EC PRIVATE KEY-----
";

PrivateKey privkey = null;
try (PEMParser pemParser = new PEMParser(new StringReader(EC_PRIVATE_KEY_STR))) {
    JcaPEMKeyConverter converter = new JcaPEMKeyConverter().setProvider("BC");
    PrivateKeyInfo privateKeyInfo = (PrivateKeyInfo) pemParser.readObject();
    privkey = converter.getPrivateKey(privateKeyInfo);

} catch (Exception e) {
    e.printStackTrace();
}

登录后复制

3. 选择正确的椭圆曲线

法语写作助手

法语助手旗下的AI智能写作平台，支持语法、拼写自动纠错，一键改写、润色你的法语作文。

查看详情

非常重要： JWS ES256 算法要求使用 ECDSA with P-256 (也称为 secp256r1 或 prime256v1) 椭圆曲线，而不是 secp256k1。

在生成密钥时，务必指定正确的曲线。使用 OpenSSL 生成 PKCS8 格式密钥时，命令如下：

openssl genpkey -algorithm ec -pkeyopt ec_paramgen_curve:P-256 -out ecprivate-pkcs8

登录后复制

或者

openssl genpkey -algorithm ec -pkeyopt ec_paramgen_curve:prime256v1 -out ecprivate-pkcs8

登录后复制

4. 生成 JWT Token

以下是使用 jjwt 库生成 JWT Token 的示例代码：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.apache.commons.codec.binary.Base64;
import java.security.KeyFactory;
import java.security.NoSuchAlgorithmException;
import java.security.PrivateKey;
import java.security.spec.InvalidKeySpecException;
import java.security.spec.PKCS8EncodedKeySpec;
import java.util.Date;
import java.util.HashMap;
import java.util.Map;

public class JwtGenerator {

    public static String generateJwtToken(String privateKeyStr)
            throws NoSuchAlgorithmException, InvalidKeySpecException {

        // 移除 BEGIN/END 行和换行符，并进行 Base64 解码
        privateKeyStr = privateKeyStr.replace("-----BEGIN PRIVATE KEY-----", "")
                .replace("-----END PRIVATE KEY-----", "")
                .replaceAll("\s+", "");

        byte[] privateKeyBytes = Base64.decodeBase64(privateKeyStr);

        // 创建 PKCS8EncodedKeySpec
        PKCS8EncodedKeySpec keySpec = new PKCS8EncodedKeySpec(privateKeyBytes);

        // 获取 KeyFactory 实例并生成私钥
        KeyFactory keyFactory = KeyFactory.getInstance("EC");
        PrivateKey privateKey = keyFactory.generatePrivate(keySpec);

        // 构建 JWT
        Map<String, Object> claims = new HashMap<>();
        claims.put("sub", "user123"); // 例如，设置 subject
        claims.put("iss", "example.com"); // 例如，设置 issuer
        claims.put("exp", new Date(System.currentTimeMillis() + 3600000)); // 设置过期时间 (1 小时)

        String jwt = Jwts.builder()
                .setHeaderParam("kid", "your-key-id") // 设置 Key ID (可选)
                .setClaims(claims) // 设置 payload
                .signWith(SignatureAlgorithm.ES256, privateKey) // 使用 ES256 算法签名
                .compact();

        return jwt;
    }

    public static void main(String[] args) throws NoSuchAlgorithmException, InvalidKeySpecException {
        // 你的 PKCS8 格式私钥字符串
        String EC_PRIVATE_KEY_STR = "-----BEGIN PRIVATE KEY-----
" +
                "MIGEAgEAMBAGByqGSM49AgEGBSuBBAAKBG0wawIBAQQgG5KZjgwVn3fyPSyejWc4
" +
                "gJvRJx8h5sLU7sNeS9/pQMyhRANCAAQsBY5Fm5S/6Wk7fhtWhge/pPcZ7L4a24cU
" +
                "H5MfX6XS1Ep8oQsdyYeUM4p5uIh6ANWEd3qNjHbJPWc4F12MMcJX
" +
                "-----END PRIVATE KEY-----";

        String jwtToken = generateJwtToken(EC_PRIVATE_KEY_STR);
        System.out.println("JWT Token: " + jwtToken);
    }
}

登录后复制

注意事项: