验证 SHA256 签名在 go 中不可行

在Golang实战开发的过程中，我们经常会遇到一些这样那样的问题，然后要卡好半天，等问题解决了才发现原来一些细节知识点还是没有掌握好。今天golang学习网就整理分享《验证 SHA256 签名在 go 中不可行》，聊聊，希望可以帮助到正在努力赚钱的你。

我一直在尝试使用 go crypto 包验证 node 中生成的签名。签名是由 createsig() 函数生成的。然后在 go 中，我使用 verifysig() 进行验证，但它总是失败。这些私钥/公钥是为本示例生成的，因此可以安全地共享。我能够在 node 中从签名运行验证，没有出现任何问题，但我不确定 go 中发生了什么导致它失败。

在 node 中生成签名

function createsig() {
  const crypto = require("crypto");

  function frombase64(base64) {
    return base64.replace(/=/g, "").replace(/\+/g, "-").replace(/\//g, "_");
  }

  const private_key =
    "-----begin private key-----\nmiibvqibadanbgkqhkig9w0baqefaascat8wgge7ageaakeayx1juq2avhs5ndkl\njl5g4a+fpluuwh2tq1+f0z1rb1dpcz+rxecjadw4ocsl5n24qtmzd66z/s1bs+b5\noyd4kwidaqabakbqxbixsrdkbnzsybbbtuso0rh4chk729qkaqvnbf2nprmz3kaf\nmxp5m9wr9hld1pt8wuuayvgtabbbkxtfq+pbaiea+t2lja3sey2nuxsr0qi211ug\nkcd820+5tjft1xmf1aeciqdo9fdm5asv3q60yvqpifsawis2jh/ds7whg4x0m64i\nswihapakty/g+eim/6o0rcrspuhneriflt9vdiymigoilfvhaiajxgh4fyqr2tvx\nuyfs9l/l2xtoussj3y5zvtndqzmmpwihamibeam8mvhmr3fjtqe5cwogsg6zxiwz\nfa9zneinp5jz\n-----end private key-----";
  var message = "test";

  var signer = crypto.createsign("rsa-sha256");
  signer.update(message);
  return frombase64(signer.sign(private_key, "base64"));
}

在go中验证

func verifysig(message, signature string) (bool, error) {
    var key = "-----begin public key-----\nmfwwdqyjkozihvcnaqebbqadswawsajbaml9y7kngfyuutxspss+yoapnzy1ffod\nk6tfn9gda29xaqmfkvxaiqhvukhljez9uelzsw+umf7nw7pgetsg+cscaweaaq==\n-----end public key-----"
    block, _ := pem.decode([]byte(key))
    if block == nil {
        return false, errors.new("uh oh")
    }

    sh := crypto.sha256.new()
    sh.write([]byte(message))
    hashed := sh.sum(nil)

    pub, err := x509.parsepkixpublickey(block.bytes)
    if err != nil {
      return false, err
    }

    if pubkey, ok := pub.(*rsa.publickey); ok {
        err := rsa.verifypkcs1v15(pubkey, crypto.sha256, hashed, []byte(signature))
        if err != nil {
            // this is where i end up every time
            return false, err
        }
        return true, nil
    }
}

工作节点验证：

function verifySig(message, signature) {

  const PUBLIC_KEY =
  "-----BEGIN PUBLIC KEY-----\nMFwwDQYJKoZIhvcNAQEBBQADSwAwSAJBAMl9Y7kNgFYUuTXSpSS+YOAPnzy1FFod\nk6tfn9Gda29XaQmfkVxAiQHVuKHLJeZ9uELZsw+umf7NW7PgeTsg+CsCAwEAAQ==\n-----END PUBLIC KEY-----";

  var verifier = crypto.createVerify("RSA-SHA256");
  verifier.update(message);

  // will return true
  return verifier.verify(PUBLIC_KEY, signature, "base64");
}

正确答案

我认为您的代码有两个问题。

首先：在 NodeJs 中，您使用 Base64 对签名进行编码，其次您将 Base64 字符串转换为“UrlSafe”Base64 编码字符串。

在使用签名字符串作为 Go 中的验证输入之前，需要颠倒这两个步骤（我不知道 Go 是否有内置的“Url-safe Base64 解码功能”）。

今天带大家了解了的相关知识，希望对你有所帮助；关于Golang的技术知识我们会一点点深入介绍，欢迎大家关注golang学习网公众号，一起学习编程~