史蒂文·米勒：关于JSON Web令牌你需要知道的事
内容提要
JSON Web令牌（JWTs）通常用于应用程序中的身份验证和授权。JWTs由头部、载荷和签名组成。用户在请求的授权头中包含JWTs，服务器验证令牌的签名和过期时间。授权基于令牌中的声明。中间件和授权代理可以用于全局处理身份验证。撤销JWTs可以通过维护一组无效的令牌ID来完成。JWTs是一种简单且广泛使用的网络应用程序身份验证和授权方法。
延伸解读
JWT 的签发与验证流程
JWT 由身份提供者签发，提供者可以是自托管（如 Devise）或外部服务（如 Clerk）。用户登录后获得 JWT，并在后续请求的 Authorization 头中携带。服务端需验证签名和过期时间，确保令牌有效且未被篡改。验证通过后，请求即被视为已认证，但授权还需进一步检查令牌中的声明。
授权基于声明，但需注意时效性
JWT 的载荷包含声明，如用户角色和组织成员关系。服务端验证令牌后，解码并检查声明以决定是否授权访问资源。然而，声明在令牌签发时确定，若用户权限变更，已签发的令牌仍保留旧声明，可能导致授权滞后。因此，对于敏感操作，需结合实时权限检查或缩短令牌有效期。
中间件与代理简化全局认证
为避免在每个路由重复编写认证代码，可使用中间件全局处理认证。中间件在路由处理前执行，验证 JWT 并检查声明，实现路径级授权。对于多服务架构，授权代理（如 NGINX 或 Envoy）配合转发认证服务，能在请求到达应用前统一完成认证和基础授权，确保一致性。但复杂业务逻辑仍需应用层处理。
撤销 JWT 的挑战与应对
JWT 在过期前始终有效，且签名无法撤销，因此撤销困难。后端需维护已失效令牌 ID（jti）集合，并在每次请求时检查。为避免频繁查询数据库，可将失效 jti 缓存在内存中。此外，权限变更后旧令牌仍含过时声明，需通过短有效期或额外检查来缓解。
Q&A
什么是JSON Web令牌（JWT）？
JSON Web令牌（JWT）是一种用于应用程序身份验证和授权的标准，通常由头部、载荷和签名三部分组成。
JWT的组成部分有哪些？
JWT由头部、载荷和签名三部分组成，头部包含元数据，载荷包含声明，签名用于验证内容的完整性。
如何验证JWT的有效性？
验证JWT的有效性需要检查其签名和过期时间，确保令牌未被篡改且仍在有效期内。
JWT的撤销是如何实现的？
撤销JWT的挑战在于令牌在过期之前始终有效，可以通过维护一组无效的令牌ID来实现撤销。
中间件在JWT身份验证中有什么作用？
中间件可以在每个路由之前全局处理身份验证，避免在每个路由中重复编写身份验证代码。
使用JWT的好处是什么？
JWT是一种简单且广泛使用的身份验证和授权方法，能够提高应用程序的安全性和效率。
