Centrifugo订阅令牌验证失败问题解析

问题背景

在使用Centrifugo实时消息系统从v3版本迁移到v4.1.5版本时，开发者遇到了订阅令牌(JWT)验证失败的问题。具体表现为系统返回"invalid token 3500"错误，导致订阅请求被拒绝。

错误现象分析

开发者提供的JWT令牌内容如下：

{
  "sub": "da55c3ce-f46e-4337-b49e-6d8519ce5ac4",
  "channel": "$system:monitoring/report",
  "iat": 1715436919,
  "exp": 11182716919
}

错误日志显示：

{"level":"debug","client":"xxxx","reason":"invalid token","user":"yyyy","time":"2024-05-11T14:15:19Z","message":"closing client connection"}

核心问题定位

通过分析日志和令牌内容，可以明确问题根源在于令牌中的sub(subject)声明与连接时使用的用户ID不匹配。具体表现为：

1. 连接令牌中的用户ID为"yyyy"
2. 订阅令牌中的sub声明却是"da55c3ce-f46e-4337-b49e-6d8519ce5ac4"

Centrifugo v4的令牌验证机制

在Centrifugo v4版本中，订阅令牌的验证机制变得更加严格。主要验证点包括：

1. 用户一致性验证：订阅令牌中的sub必须与连接时使用的用户ID完全一致
2. 通道权限验证：channel声明必须与当前尝试订阅的通道匹配
3. 时间有效性验证：检查令牌的签发时间(iat)和过期时间(exp)

解决方案

要解决这个问题，需要确保：

1. 连接令牌和订阅令牌中的用户标识必须一致
2. 订阅令牌中的sub字段应该设置为连接时使用的用户ID
3. 对于系统通道$system:monitoring/report，还需要确认客户端是否有权限订阅该通道

最佳实践建议

1. 令牌生成统一性：确保所有令牌(连接令牌和订阅令牌)使用相同的用户标识
2. 通道权限管理：对于系统通道，应该严格控制访问权限
3. 令牌有效期：合理设置令牌的有效期，避免设置过长或过短
4. 调试技巧：遇到验证问题时，可以对比连接令牌和订阅令牌的所有声明字段

总结

Centrifugo v4版本对安全性要求更高，特别是在令牌验证方面。开发者需要特别注意令牌中各个声明字段的一致性，特别是用户标识(sub)的匹配问题。通过确保令牌生成逻辑的正确性，可以避免类似"invalid token"错误的发生。