Misleading "invalid algorithm" error on malformed public key

オープン

#882 2023年1月18日に作成コメント 0 件リアクション 3 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 2/5
見積もり時間: 1〜3時間
初心者へのやさしさ: 45/100

issue の種類: バグ
明瞭さ: 明確に書かれている
活発さ: 停滞
技術スタック: javascript, node.js
領域: authentication, backend, security

調査の方向性

verify.js の 123 行目から始め、報告された Node.js バージョンを使用して、リンクされた jsonwebtoken-invalid-alg-repro プロジェクトで不正な公開鍵のケースを再現します。crypto の失敗がどのように処理されるかを追跡し、誤解を招く "invalid algorithm" エラーではなく元の crypto エラーが表面化した時点で issue の完了とみなします。

索引モデルが issue の本文から書いたものです。

説明

Description

On 9.0.0, we get the following error when trying to verify a JWT using a malformed public key:

JsonWebTokenError: invalid algorithm

In 8.x, we would get an error that would look something like:

Error: error:1E08010C:DECODER routines::unsupported
{
  library: 'DECODER routines',
  reason: 'unsupported',
  code: 'ERR_OSSL_UNSUPPORTED'
}

The latter points us to a crypto error and suggests an issue parsing the key.
The former misleads the developer from the root issue.

The library should at least throw the original crypto error. Here is the line of code responsible for eating the error: https://github.com/auth0/node-jsonwebtoken/blob/master/verify.js#L123

Reproduction

https://github.com/Drew-Kimberly/jsonwebtoken-invalid-alg-repro
(uses dummy jwt/key from https://jwt.io)

Environment

Version of this library used: 9.0.0
Other relevant versions (language, server software, OS, browser): NodeJS 16.19.0 and 18.12.1

主要言語: JavaScript
スター: 18.2k
フォーク: 1.3k
PR マージ指標: 30日以内にマージされた PR はありません

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

auth0/node-jsonwebtoken のほかの issue

jwt.verify() returns numeric payload claims as strings オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

auth0/node-jsonwebtoken#1042 · コメント 1 件 · 2026年8月12日に作成
`jwt.sign()` callback is executed twice for "The payload already has an "..." property" errors オープン

難易度 2/5 1〜3時間初心者へのやさしさ 84/100

auth0/node-jsonwebtoken#1000 · コメント 2 件 · リアクション 1 件 · 2025年9月10日に作成
verify() resolves a string secret by attempting createPublicKey() first, costing 4x-52x on the HS* path オープン

難易度 4/5 3〜5日初心者へのやさしさ 65/100

auth0/node-jsonwebtoken#1046 · 2026年9月17日に作成
[Tool Share] cad-automation - Zero-cost CAD automation tool オープン

難易度 5/5 1週間以上初心者へのやさしさ 10/100

auth0/node-jsonwebtoken#1034 · 2026年6月14日に作成
jwt.verify accepts tokens with unrecognized `crit` header extensions (RFC 7515 §4.1.11) オープン

難易度 3/5 1〜2日初心者へのやさしさ 48/100

auth0/node-jsonwebtoken#1032 · 2026年5月27日に作成

auth0/node-jsonwebtoken の issue をすべて見る

似ている issue

Update HugeIcons library オープン

難易度 2/5 1〜3時間初心者へのやさしさ 65/100

antfu-collective/icones#398 · 2026年9月24日に作成
ECmail.com オープン

難易度 1/5 1時間未満初心者へのやさしさ 90/100

wesbos/burner-email-providers#554 · 2026年9月24日に作成
Default dort filter shows warning オープン

難易度 2/5 1〜3時間初心者へのやさしさ 65/100

radiantearth/stac-browser#1023 · 2026年9月24日に作成
HMR stops working オープン

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

ryan-haskell/vite-plugin-elm-watch#20 · 2026年9月24日に作成
Page caching: document the warm origin, and that rendering and warming need different URLs オープン

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

components-web-app/docs#92 · 2026年9月24日に作成

JavaScript の issue をもっと見る