用于创建和签署 ES256 JWT 令牌的 BASH 脚本

Question

我正在尝试制作一个 BASH 脚本，为 AppStore Connect API 生成并签署 JWT 令牌。 （https://developer.apple.com/documentation/appstoreconnectapi/generate_tokens_for_api_requests）

我目前有一个 BASH 脚本和一个 Ruby 脚本，它们都从相同的数据生成令牌。 Ruby 中的令牌可以按预期工作，但 BASH 脚本创建的令牌却不能。

生成的标头和有效负载是相同的，因此问题是在 BASH 中使用 openssl 进行签名。

创建无效密钥的 BASH 脚本：

#!/bin/bash

# Check if required tools are installed
if ! command -v openssl > /dev/null; then
  echo "Error: openssl not found. Please install openssl."
  exit 1
fi

# Replace with your actual values
key_id="MCHQZ23JLZ"
p8_file="AuthKey_${key_id}.p8"
issuer_id="69a6de92-655f-47e3-e053-5b8c7c11a4d1"
expiration_time=$(( $(date '+%s') + 1200 ))  # Token expires in 20 mins

# Create the header and payload
header='{"kid":"'$key_id'","typ":"JWT","alg":"ES256"}'
payload='{"iss":"'$issuer_id'","exp":'$expiration_time',"aud":"appstoreconnect-v1"}'

# Encode the header and payload to base64
encoded_header=$(echo -n "$header" | base64 | tr -d '\n=' | tr '/+' '_-')
encoded_payload=$(echo -n "$payload" | base64 | tr -d '\n=' | tr '/+' '_-')

# Create the signature
signature=$(echo -n "$encoded_header.$encoded_payload" | openssl dgst -binary -sha256 -sign "$p8_file" | openssl base64 -e -A | tr '+/' '-_' | tr -d '\n=')

# Combine the encoded header, payload, and signature to create the JWT token
jwt_token="$encoded_header.$encoded_payload.$signature"

echo "JWT Token: $jwt_token"

创建有效工作令牌的 Ruby 脚本：

require 'jwt'
require 'openssl'

# Variables
key_id = "MXXXXXXXXZ"
issuer_id = "6XxXXxx2-655f-47e3-e053-5xXXxxXXxxX1"
valid_duration = 20 * 60 # 20 minutes

private_key_path = "AuthKey_#{key_id}.p8"
private_key = OpenSSL::PKey::EC.new IO.read private_key_path

headers = {
  'kid' => key_id,
  'typ' => "JWT"
}

claims = {
  'iss' => issuer_id,
  'exp' => Time.now.to_i + valid_duration,
  'aud' => 'appstoreconnect-v1'
}

token = JWT.encode claims, private_key, 'ES256', headers

puts token

这两个脚本现在创建相同的标头和有效负载，但 BASH 脚本中的签名一定是错误的。

任何有助于在 BASH 脚本中正确签名的帮助都将受到赞赏。

Answer 1

我遇到了同样的问题，

convert_ec

功能解决了问题。 https://github.com/smallstep/cli/blob/master/integration/openssl-jwt.sh#L20C1-L27C2

function convert_ec {
    INPUT=$(openssl asn1parse -inform der)
    R=$(echo "$INPUT" | head -2 | tail -1 | cut -d':' -f4)
    S=$(echo "$INPUT" | head -3 | tail -1 | cut -d':' -f4)

    echo -n $R | xxd -r -p
    echo -n $S | xxd -r -p
}
signature=$(echo -n "$encoded_header.$encoded_payload" | openssl dgst -binary -sha256 -sign "$p8_file" | convert_ec | openssl base64 -e -A | tr '+/' '-_' | tr -d '\n=')

Answer 2

magicien的回答对我帮助很大，但不一致。我发现问题是

openssl asn1parse -inform der

不包含前导 00。因此，要使其在 100% 的时间内正常工作，需要修改 Convert_ec 更改 2 行：

R=$(echo "$INPUT" | head -2 | tail -1 | cut -d":" -f4 | xargs printf %132s | tr " " 0);
S=$(echo "$INPUT" | head -3 | tail -1 | cut -d":" -f4 | xargs printf %132s | tr " " 0);