JWT解析失败报“invalid base64”需先做URL-safe Base64预处理：还原'-'→'+'、'_'→'/'，再按长度模4补足'='（余2补'=='，余3补'='），之后再用OpenSSL解码。
JWT 解析失败时 openssl 报错 “invalid base64” 怎么办
JWT 的三段式结构（header.payload.signature）都经过 URL-safe Base64 编码，但标准 Base64 解码库（如 OpenSSL 的 EVP_DecodeBlock）不支持去掉填充符 =、且把 +// 替换为 -/_ 的变体。直接传入原始 JWT 字符串会触发 “invalid base64” 或解码后长度异常。
必须先做 URL-safe Base64 预处理：补全填充、还原字符。常见错误是只替换字符却忽略填充——JWT 的每段长度模 4 可能为 0、2、3，需按规则补 =：
- 长度 % 4 == 0 → 不补
- 长度 % 4 == 2 → 补
== - 长度 % 4 == 3 → 补
=
示例（C++17，用 std::string 处理）：
std::string url_safe_b64_decode(const std::string& s) {
std::string raw = s;
// 还原字符
std::replace(raw.begin(), raw.end(), '-', '+');
std::replace(raw.begin(), raw.end(), '_', '/');
// 补填充
switch (raw.length() % 4) {
case 0: break;
case 2: raw += "=="; break;
case 3: raw += "="; break;
}
// 此时可用 OpenSSL 或 boost::beast::http::base64_decode
return raw;
}
用 openssl 验证 JWT signature 为什么总失败
签名验证不是简单比对哈希值，而是要完整复现 JWT 签名生成逻辑：拼接 base64url(header).base64url(payload)（不含点号），再用对应算法（如 HS256）对这个字符串做 HMAC-SHA256，最后与 JWT 第三段的 base64url 解码结果比对。
立即学习“C++免费学习笔记（深入）”；
容易出错的点：
- 拼接时漏掉
.分隔符？不，验证时绝对不能加点号 —— RFC 7515 明确要求签名输入是ASCII(base64url(header)) || '.' || ASCII(base64url(payload))，但实际计算时是两段字节流拼接，中间没有.字符； - 密钥类型混淆：HS256 用原始字节密钥，RS256 必须用 PEM 格式私钥 + 公钥验签，不能把 RSA 私钥当字符串喂给 HMAC；
- OpenSSL 中
HMAC_CTX已废弃，C++ 项目应优先用HMAC函数族（如HMAC(EVP_sha256(), key, key_len, input, input_len, out, &out_len)），且注意input是拼好的二进制数据，不是 base64 字符串。
如何安全地解析 JWT payload 并提取 exp 字段防止越权
JWT 的 payload 是 JSON，但绝不能用通用 JSON 库（如 nlohmann/json）直接解析未校验 signature 的内容——攻击者可篡改 exp、iat、role 等字段绕过检查。必须坚持「先验签，再解析」流程。
验签通过后解析 payload 仍需防御性处理：
-
exp和iat字段必须是 numeric date（JSON number），不能是字符串； - 必须用
std::chrono::system_clock::now().time_since_epoch().count() / 1000000000获取当前 Unix 时间戳（秒级），与exp比较，避免时区或精度偏差； - 建议用
json::get<int64_t>()强制转整型，捕获json::type_error；若字段缺失，视为无效 JWT。
关键逻辑顺序不可逆：split_jwt → decode_header → verify_signature → decode_payload → check_exp/iat/nbf。
C++ 里该选哪个 JWT 库而不是重复造轮子
除非有极端约束（如裸金属、无第三方依赖），否则不建议手写全部逻辑。目前较稳妥的选择只有两个：
-
cpp-jwt（GitHub:Thalhammer/cpp-jwt）：头文件为主，依赖 OpenSSL 和json.hpp，支持 HS/RS/ES 算法，API 清晰，但不自动处理时钟偏移（需自行加leeway）； -
jwt-cpp（GitHub:Thalhammer/jwt-cpp）：注意这不是cpp-jwt的分支，是独立项目，同样基于 OpenSSL，但更活跃，提供validate类封装时间窗口和 audience 检查，推荐用于新项目。
避坑提示：别用已归档的 jwtpp 或仅支持 C++11 且无维护的轻量库——它们对 JWK、key rotation、ECDSA 支持极弱，线上环境容易因算法协商失败而崩溃。
最易被忽略的是：所有 C++ JWT 库都**不内置 HTTP 请求能力**，token 从 Authorization header 提取、刷新逻辑、storage（如内存 cache 或 Redis 同步）全得自己实现。这部分往往比解析本身更复杂。
