JWT Auth

使用说明

JWT Auth Skill 提供 JWT Token 的生成、验证和解析功能，支持 RS256、HS256、ES256 等主流签名算法。适合 API 认证、服务间鉴权和临时授权场景。

clawhub install jwt-auth

核心功能

• Token 生成：自定义 Claims、过期时间、签发者
• Token 验证：校验签名、过期时间、Issuer 和 Audience
• Token 解析：不验证签名的情况下读取 Claims
• 密钥管理：支持 HMAC 对称密钥和 RSA/ECDSA 非对称密钥
• 刷新机制：生成刷新 Token，实现无感续期

配置

# HS256 模式
export JWT_SECRET=your-256-bit-secret
export JWT_ALGORITHM=HS256

# RS256 模式
export JWT_PRIVATE_KEY_PATH=/path/to/private.pem
export JWT_PUBLIC_KEY_PATH=/path/to/public.pem
export JWT_ALGORITHM=RS256

使用示例

给用户 ID 123 生成一个 24 小时有效的 JWT

验证这个 Token 是否有效

解析 Token 里的 Claims，不验证签名

安全建议

1. RS256 比 HS256 更安全，生产环境推荐
2. 设置合理的过期时间，不要永不过期
3. 密钥定期轮换
4. 敏感数据不要放进 Payload（JWT 可被解码）
5. 使用 jti 字段防止 Token 重放攻击