java-jwt (Auth0)

Les faits et les vérifications qui les fondent

Rien de ce qui suit n’est copié d’une documentation. La vérification content/libraries/verify/java-jwt/run.sh a exécuté java-jwt (Auth0) 4.6.2 dans l’image de conteneur maven:3.9.16-eclipse-temurin-25 le 20 octobre 2026 ; la page doit correspondre à ce que la vérification a affiché, et chaque fait cite les lignes en question.

• Algorithmes JWS

  HS256HS384HS512RS256RS384RS512ES256ES384ES512

  Signature et vérification réussies avec HS, RS et ES en 256/384/512 ; la fabrique Algorithm ne propose ni PS*, ni ES256K, ni EdDSA.

  Relevé par la vérification

  fact jws-algorithms = HS256, HS384, HS512, RS256, RS384, RS512, ES256, ES384, ES512
  evidence jws-algorithms: Algorithm factory methods: HMAC256/384/512, RSA256/384/512, ECDSA256/384/512, none; no PS*, ES256K or EdDSA

• Encodage des signatures ES256

  raw

  Les signatures ES256 font 64 octets, en r‖s brut.

  Relevé par la vérification

  fact jws-ecdsa-encoding = raw

• Signature DER dans un JWS

  rejected

  Une signature ES256 encodée en DER échoue avec SignatureVerificationException: The Token's Signature resulted invalid when verified using the Algorithm: SHA256withECDSA.

  Relevé par la vérification

  fact jws-der-signature = rejected
  evidence jws-der-signature: SignatureVerificationException: The Token's Signature resulted invalid when verified using the Algorithm: SHA256withECDSA

• Liste d’algorithmes autorisés

  required

  Un vérificateur est lié à un seul Algorithm : un jeton RS256 présenté à JWT.require(ECDSA256) a échoué avec AlgorithmMismatchException.

  Relevé par la vérification

  fact jwt-algorithm-allowlist = required
  evidence jwt-algorithm-allowlist: JWT.require(ECDSA256) on an RS256 token: AlgorithmMismatchException: The provided Algorithm doesn't match the one defined in the JWT's Header.

• Jetons non signés (alg none)

  opt-in

  Un vérificateur ES256 rejette les jetons non signés ; JWT.require(Algorithm.none()) les accepte.

  Relevé par la vérification

  fact jwt-alg-none = opt-in
  evidence jwt-alg-none: JWT.require(ECDSA256): AlgorithmMismatchException: The provided Algorithm doesn't match the one defined in the JWT's Header.
  evidence jwt-alg-none: JWT.require(Algorithm.none()): verified

• Clé publique utilisée comme secret HMAC

  rejected

  Un jeton HS256 dont la clé HMAC était le texte PEM a échoué face au vérificateur ES256, mais Algorithm.HMAC256(pemBytes) l’a vérifié.

  Relevé par la vérification

  fact jwt-hmac-public-key = rejected
  evidence jwt-hmac-public-key: JWT.require(ECDSA256): AlgorithmMismatchException: The provided Algorithm doesn't match the one defined in the JWT's Header.
  evidence jwt-hmac-public-key: JWT.require(Algorithm.HMAC256(PEM bytes)): verified

• Courbe vérifiée par rapport à alg

  enforced

  Algorithm.ECDSA256 avec une clé P-384 échoue à la signature avec SignatureGenerationException.

  Relevé par la vérification

  fact jwt-ecdsa-curve-check = enforced
  evidence jwt-ecdsa-curve-check: SignatureGenerationException: The Token's Signature couldn't be generated when signing using the Algorithm: SHA256withECDSA

• Décalage d’horloge toléré par défaut

  0s

  Aucune marge de tolérance par défaut : un jeton expiré depuis trois secondes a été rejeté.

  Relevé par la vérification

  fact jwt-clock-skew = 0s

• Claim d’expiration obligatoire

  no

  Un jeton sans exp a été vérifié ; withClaimPresence("exp") le rend obligatoire.

  Relevé par la vérification

  fact jwt-exp-required = no

Utilisation

import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;
import java.security.KeyPair;
import java.security.KeyPairGenerator;
import java.security.interfaces.ECPrivateKey;
import java.security.interfaces.ECPublicKey;
import java.security.spec.ECGenParameterSpec;
import java.time.Instant;

public class Usage {
    public static void main(String[] args) throws Exception {
        KeyPairGenerator generator = KeyPairGenerator.getInstance("EC");
        generator.initialize(new ECGenParameterSpec("secp256r1"));
        KeyPair pair = generator.generateKeyPair();
        Algorithm es256 = Algorithm.ECDSA256((ECPublicKey) pair.getPublic(), (ECPrivateKey) pair.getPrivate());

        String token = JWT.create().withSubject("user-42").withIssuer("https://auth.example.com")
            .withExpiresAt(Instant.now().plusSeconds(600)).sign(es256);

        // JWT.require() verifies; JWT.decode() only parses. Require exp and allow some leeway.
        DecodedJWT verified = JWT.require(es256).withIssuer("https://auth.example.com")
            .withClaimPresence("exp").acceptLeeway(30).build().verify(token);
        System.out.println("sub: " + verified.getSubject());
    }
}