如何正确理解 JWT 签名验证中的 Base64 填充与位截断现象-Golang-PHP中文网

如何正确理解 JWT 签名验证中的 Base64 填充与位截断现象

jwt 签名验证看似“宽松”（如末尾字符替换仍通过），实则是 base64 编码的填充机制与哈希值位长度不匹配导致的校验误判，本文深入解析其原理并提供安全验证实践。

jwt 签名验证看似“宽松”（如末尾字符替换仍通过），实则是 base64 编码的填充机制与哈希值位长度不匹配导致的校验误判，本文深入解析其原理并提供安全验证实践。

在使用 github.com/dgrijalva/jwt-go（或其现代替代品 github.com/golang-jwt/jwt/v5）进行 JWT 签名验证时，开发者可能遇到一个反直觉现象：修改签名部分（第三段）末尾的 Base64 字符（如 U → V/W/X），验证仍返回成功。例如以下两个 token 仅签名末字符不同，却均被判定为“Signature Verified”：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE0NTc3MzAyODMsInVzZXIiOiJ1c2VyMSJ9.SxshVL42DUH9e7jXUblbB_bTwKxhe4jo70DrvbQMlaU
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE0NTc3MzAyODMsInVzZXIiOiJ1c2VyMSJ9.SxshVL42DUH9e7jXUblbB_bTwKxhe4jo70DrvbQMlaV

这并非库存在漏洞，而是源于 JWT 签名的 Base64URL 编码特性与底层哈希字节长度的交互行为。

? 根本原因：Base64URL 截断与位对齐

JWT 签名使用的是 HMAC-SHA256，其原始输出为 32 字节（256 位） 的二进制数据。当该数据经 Base64URL 编码（RFC 7515）后，理论编码长度应为：

ceil(32 × 8 / 6) = ceil(256 / 6) = 43 个字符

但实际常见 JWT 签名是 43 或 44 字符（含可选的 = 填充）。关键点在于：Base64 解码器在处理末尾非标准字符时，会依据有效 Base64 字符集（A–Z, a–z, 0–9, -, _）和填充规则进行“容错解码”。

以 laU 和 laV 为例：

Base64URL 中 U 对应比特 20（010100），V 对应 21（010101）；
但由于 SHA256 输出固定为 32 字节，而 Base64 每 4 字符解码为 3 字节，最后 1–2 个 Base64 字符仅影响不足 1 字节的有效载荷；
更重要的是，许多 Base64 实现（包括 jwt-go 内部解码逻辑）在解码时会忽略末尾因填充缺失或字符微变导致的低位比特差异，只要前导字节完全匹配且整体长度可被 3 整除，就可能接受该签名。

可通过在线工具（如 conv.darkbyte.ru）将两签名分别 Base64URL 解码为十六进制，结果均为：

a6 1b 21 54 be 36 0d 41 fd 7b b8 d7 51 b9 5b 07 f6 d3 c0 ac 61 7b 88 e8 ef 40 eb bd b4 0c 95 a3

→ 证实二者解码后字节完全一致，U/V/X 在 Base64URL 解码中被映射为相同有效字节序列。

✅ 正确实践：避免依赖“肉眼验证”，启用严格校验

禁用不安全的验证方式
不要依赖 jwt.io 等在线工具的 UI 提示作为安全依据；它们为调试设计，非生产级验证器。
使用现代、维护中的库
github.com/dgrijalva/jwt-go 已归档且存在已知安全问题（如 CVE-2020-26160）。推荐迁移至：
```
import "github.com/golang-jwt/jwt/v5"
```

显式指定签名算法并校验错误

token, err := jwt.Parse(myToken, func(token *jwt.Token) (interface{}, error) {
    if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
        return nil, fmt.Errorf("unexpected signing method: %v", token.Header["alg"])
    }
    return []byte("MySuperSecretKey"), nil
})
if err != nil {
    log.Fatal("Invalid token:", err) // 注意：err 可能是 jwt.ErrSignatureInvalid
}
if !token.Valid {
    log.Fatal("Token signature invalid")
}

关键提醒
- JWT 安全性不依赖“签名难以篡改”的表象，而依赖密钥保密性与算法正确实现；
- 生产环境必须使用强随机密钥（≥32 字节）、设置合理 exp，并始终校验 iat/nbf/aud 等声明；
- 若需更高安全性，考虑使用 RSA/ECDSA 非对称签名，避免密钥分发风险。