为什么JWE解密会失败？ node.js 中的谷歌诚信

Question

我正在 node.js/express 中编写反向代理以使 API 调用更安全。 这是根据此文档解码由谷歌发送的 JWE 的代码：

app.get('/checkGoogleToken', async (req, res) => {
    const tokens = fs.readdirSync('./tokens/')
    console.log('Checking Google Token')
    const token = fs.readFileSync('./tokens/' + tokens[0], 'utf-8')
    console.log(token)
    const { plaintext, protectedHeader } = await jose.compactDecrypt(
        token,
        Buffer.from(process.env.DECRYPTION_KEY, "base64"
        )); /* integrity_token is the token got from Integrity API response in the app. 
    DECRYPTION_KEY is found from Google Play Console */

    console.log(protectedHeader);
    console.log(new TextDecoder().decode(plaintext));

    const { payload, Header = protectedHeader } = await jose.compactVerify(
        plaintext,
        crypto.createPublicKey("-----BEGIN PUBLIC KEY-----\n" +
            process.env.VERIFICATION_KEY +
            "\n-----END PUBLIC KEY-----")
    )

我在这里找到了代码： Decrypt and verify locally Play Integrity API Token using NodeJS

但是，即使 DECRYPTION_KEY 是 Google 提供的，解密也会失败。 /tokens/ 中的文件是纯文本文件，其中包含我的测试手机在收到它们后保存的 JWE 令牌。 不过有一个小细节。 到目前为止，我正在通过 metro 从 expo 执行应用程序，即没有通过 Play 商店正确安装（为了加快测试速度）...这会导致使用不同的密钥加密到 JWE 吗？ 非常感谢！

Answer 1

解决方案：对于将来遇到此问题的任何人：上面和链接问题中的代码是 100% 正确的。 如果通过 Play 商店安装，Google Play Integrity 仅按照您在 Play 控制台中定义的方式工作（不过这也适用于测试版本）。 因此，如果您需要摆弄 Integrity，我的建议是在开发过程的最后阶段进行，然后通过测试分发进行。