OIDC令牌验证失败主因是资源服务器无法匹配kid或获取签名密钥：需确认aud/iss与配置一致、jwks_uri可访问且返回含匹配kid的密钥、服务端库支持令牌alg算法，MongoDB Atlas本身不验证OIDC令牌。
OIDC 令牌验证失败不是 PyMongo 或应用代码的问题，而是资源服务器（比如你自建的 API）在用 OpenID Connect 元数据验证 JWT 时，无法匹配 kid 或获取不到对应签名密钥。
检查访问令牌的 aud 和 iss 是否匹配资源服务器预期
OIDC 验证失败的第一常见原因是令牌“发错了地方”。比如你拿 Microsoft Graph 的 token 去请求自己的 API，必然失败——Graph 的 aud 是 https://graph.microsoft.com，而你的 API 只认 https://api.yourdomain.com。
- 用 https://www.php.cn/link/d8cb41c75b383c287a7db7588410c8c8 解码你的访问令牌，确认
aud值与你资源服务器配置的受信任受众完全一致（注意末尾斜杠是否多余） -
iss必须指向你配置的 OIDC 发现地址根路径，例如https://login.microsoftonline.com/{tenant-id}/v2.0；如果用了政府云（如.us），iss和元数据地址都得对齐 - 如果你用的是自定义 OIDC 提供者（如 Auth0、Keycloak），确保其
issuer声明值和你在资源端配置的issuer字符串逐字节相等（含协议、大小写、尾部斜杠）
验证 jwks_uri 是否可访问且返回有效密钥
资源服务器靠 kid 找密钥，而密钥列表来自 OpenID Connect 元数据里的 jwks_uri。这个 URL 一旦不可达、返回空、或格式非法，验证就直接中断。
- 手动访问你的元数据地址（如
https://login.microsoftonline.com/{tenant-id}/v2.0/.well-known/openid-configuration），从中提取jwks_uri字段值 - 用
curl -v或浏览器直接请求该jwks_uri，确认 HTTP 状态码是 200，响应体是合法 JSON，且包含keys数组 - 检查返回的每个密钥对象是否有
kid，并确认它和你令牌头部的kid能匹配上（大小写敏感） - 某些环境（如内网、容器）可能 DNS 解析失败或 TLS 证书不被信任，导致请求静默失败——此时日志里往往只报“no signing key found”，而非网络错误
确认资源服务器使用的验证库支持当前签名算法
不是所有 JWT 库默认支持全部签名算法。MongoDB Atlas 自身不处理 OIDC 令牌；但如果你在自建 API 层（如 Express + express-jwt、Spring Security OAuth2 Resource Server）做验证，算法不匹配会导致“签名无效”假象。
- 查看令牌 header 中的
alg字段（常见为RS256、ES256） - 检查你服务端验证库的文档：例如 Spring Security 默认只启用
RS256，若 IDP 发了ES256就会静默拒绝 -
express-jwt旧版本（v6 之前）不自动识别alg，需显式传入algorithms: ['RS256'] - 某些库（如早期
pyjwt）默认禁用弱算法（如none），但不会报错 alg 不支持，而是直接验证失败
排查 MongoDB Atlas 是否被误当作 OIDC 资源服务器
MongoDB Atlas 本身不接受或验证 OIDC 访问令牌——它只支持传统数据库用户密码认证（SCRAM-SHA-256）或 X.509。如果你试图把一个 OIDC token 当作 username 填进 PyMongo 连接字符串，bad auth 是必然结果，和签名验证无关。
- PyMongo 连接 Atlas 时，
username必须是 Atlas 控制台里“Database Access”页创建的数据库用户，不是 OIDC 用户 - Atlas 支持的 SSO 登录仅用于控制台管理，不延伸至驱动连接层
- 若你真需要 OIDC 流程对接 Atlas，必须走官方支持的 Atlas OIDC Authentication，它要求你配置 IdP 并在 Atlas 中启用专用认证机制，不是直接传 token
真正棘手的点在于：OIDC 验证失败往往没有明确错误码，只有笼统的“invalid token”或“signature verification failed”。这时候你要盯住三件事：token 的 kid 和 jwks_uri 返回的密钥是否对得上、网络链路是否全程可达、服务端库是否悄悄跳过了算法校验。任何一环断开，都会让问题看起来像凭据错误。
