OAuth 2.0 实战：解析 ‘cannot convert access token to json’ 错误及解决方案

1次阅读

共计 2392 个字符，预计需要花费 6 分钟才能阅读完成。

OAuth 2.0 是现代授权框架的核心，而访问令牌（Access Token）则是其关键组成部分。令牌通常以两种形式存在：不透明令牌（随机字符串）和结构化令牌（如 JWT）。JWT（JSON Web Token）是目前最流行的结构化令牌格式，它由三部分组成：Header、Payload 和 Signature，每部分通过 Base64Url 编码后以点号连接。

Header：包含令牌类型和签名算法（如 {"alg":"HS256","typ":"JWT"}）
Payload：存储用户声明和元数据（如用户 ID、过期时间等）
Signature：用于验证令牌完整性的加密签名

当系统抛出 cannot convert access token to json 错误时，通常意味着令牌解析过程中遇到了以下问题之一：

非标准 JWT 格式
缺少标准的三段式结构（Header.Payload.Signature）
使用了非标准分隔符（如空格或下划线代替点号）
Base64 编码问题
未使用 URL 安全的 Base64 编码（需替换 +/ 为 -_ 并去除填充字符 =）
编码字符串包含非法字符（如换行符或非 ASCII 字符）
解析库配置错误
未指定正确的签名算法（如服务端用 HS256 但客户端配置了 RS256）
未设置必要的验证参数（如忽略过期时间检查）
网络传输损坏
令牌在传输过程中被截断或修改（如代理服务器错误处理）
字符编码转换问题（如 UTF-8 到 ASCII 的强制转换）

import jwt
from jwt.exceptions import DecodeError, InvalidSignatureError

try:
    # 从请求头获取令牌
    token = request.headers.get('Authorization').split(' ')[1]

    # 验证并解码令牌
    decoded = jwt.decode(
        token,
        key='your-secret-key',  # 替换为实际密钥
        algorithms=['HS256'],   # 必须明确指定算法
        options={'verify_exp': True}  # 启用过期检查
    )
    print(decoded)
except (DecodeError, InvalidSignatureError) as e:
    print(f"令牌解析失败: {str(e)}")

import io.jsonwebtoken.*;
import io.jsonwebtoken.security.SignatureException;

try {String token = request.getHeader("Authorization").split(" ")[1];

    Jws<Claims> claims = Jwts.parserBuilder()
        .setSigningKey(Keys.hmacShaKeyFor("your-secret-key".getBytes()))
        .build()
        .parseClaimsJws(token);

    System.out.println(claims.getBody());
} catch (MalformedJwtException e) {System.err.println("令牌格式错误:" + e.getMessage());
} catch (SignatureException e) {System.err.println("签名验证失败:" + e.getMessage());
}

const jwt = require('jsonwebtoken');

const token = req.headers.authorization.split(' ')[1];

try {
    const decoded = jwt.verify(token, 'your-secret-key', {algorithms: ['HS256'],  // 必须限制算法
        ignoreExpiration: false // 禁用过期跳过
    });
    console.log(decoded);
} catch (err) {if (err.name === 'JsonWebTokenError') {console.error('令牌解析错误:', err.message);
    } else if (err.name === 'TokenExpiredError') {console.error('令牌已过期');
    }
}