¿Cómo probar la identidad de mis usuarios a partir de los archivos JSON públicos?

No, me temo que no tiene sentido. Si firma solo partes de él, cualquiera puede copiar esa parte de signo en su JSON.

Sería mejor firmar todo el JSON, calculando un hash y luego firmando eso. De esa forma nadie podrá alterarlo sin tener que volver a firmarlo.

Tiene sentido que un usuario tenga que firmar todo el archivo . Si hay una parte firmada allí que todos pueden copiar, puedes usar el nombre de usuario en texto sin formato y confiar en que nadie lo copiará.

La clave para firmar los datos es que cualquier cambio en los datos hará que la firma no sea válida y que solo el propietario del secreto puede firmar los datos.

Aquí puedes usar dos formas:

• firma el archivo json en un archivo auxiliar. Pros: fácil de configurar - contras: los cambios no significativos en el json (por ejemplo, agregar un espacio fuera de una cadena) aún requieren un nuevo archivo de firma y debes cargar el archivo auxiliar junto con el json uno
• agregue un campo de signo al json original que contendrá la firma de una concatenación de todos los datos en un formato preciso. Pros: solo un archivo y los datos reales están firmados, no una representación json en particular. Contras: cada cliente debe poder construir la representación y firmarla.