401未能读取到有效token：从原理到实战的JWT认证避坑指南

1次阅读

共计 2902 个字符，预计需要花费 8 分钟才能阅读完成。

去年双十一大促期间，某电商平台支付网关突发大规模 401 错误。当时每秒超 2 万笔的支付请求中，约 15% 因 Invalid Token 被拒绝，直接导致 3000 多万元的订单流失。事后排查发现，问题根源在于 JWT 签名密钥轮换时，新旧密钥存在 5 秒的重叠期——这正是我们今天要深入探讨的典型场景。

协议层 ：RFC 7235 明确 401(Unauthorized) 实际表示 ” 未认证 ”（注意不是权限不足，那是 403）

交互流程 ：必须伴随WWW-Authenticate 响应头，例如：

HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer error="invalid_token"

业务影响：触发客户端重新认证，可能导致用户操作中断

签名验证：HS256/RS256 等算法的正确实现
时效检查 ：exp(过期时间) 和nbf(生效时间)的合规处理
发行方校验 ：iss(Issuer) 是否在可信白名单
受众验证 ：aud(Audience) 是否包含当前服务标识

时钟偏移：服务器间时间不同步导致提前判定过期
密钥不一致：未正确同步 HS256 密钥或 RS256 公钥
算法混淆 ：攻击者修改alg:none 绕过验证
令牌劫持：Token 被中间人窃取后重复使用
过早刷新 ：在iat(签发时间) 之前接受令牌
黑名单遗漏：已注销 Token 未被及时加入黑名单
格式错误：Authorization 头未正确携带 Bearer 标识

public class JwtFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, 
                                    HttpServletResponse response,
                                    FilterChain chain) {
        // 1. 提取 Authorization 头
        String header = request.getHeader("Authorization");
        if (!StringUtils.startsWithIgnoreCase(header, "Bearer")) {chain.doFilter(request, response);
            return;
        }

        // 2. 解析并验证 Token
        try {String token = header.substring(7);
            Jws<Claims> claims = Jwts.parserBuilder()
                .setSigningKey(getCurrentKey()) // 动态获取最新密钥
                .requireIssuer("your-issuer")   // 强制校验 iss
                .build()
                .parseClaimsJws(token);

            // 3. 构造认证对象
            UsernamePasswordAuthenticationToken auth = 
                new UsernamePasswordAuthenticationToken(claims.getBody().getSubject(), 
                    null,
                    extractAuthorities(claims));
            SecurityContextHolder.getContext().setAuthentication(auth);
        } catch (JwtException e) {
            // 4. 精细化异常处理
            response.setHeader("WWW-Authenticate", 
                String.format("Bearer error=\"%s\"", e.getClass().getSimpleName()));
            response.sendError(HttpStatus.UNAUTHORIZED.value());
            return;
        }
        chain.doFilter(request, response);
    }
}

const {expressjwt} = require('express-jwt');
const jwksRsa = require('jwks-rsa');

app.use(expressjwt({
  secret: jwksRsa.expressJwtSecret({
    cache: true,
    rateLimit: true,
    jwksRequestsPerMinute: 5,
    jwksUri: 'https://auth.example.com/.well-known/jwks.json'
  }),
  issuer: 'https://auth.example.com',
  algorithms: ['RS256'],
  requestProperty: 'auth',
  getToken: (req) => {if (req.headers.authorization?.split('')[0] ==='Bearer') {return req.headers.authorization.split(' ')[1];
    }
    return null;
  }
}).unless({path: ['/healthcheck'] }));

// 错误处理中间件
app.use((err, req, res, next) => {if (err.name === 'UnauthorizedError') {res.set('WWW-Authenticate', `Bearer error="${err.code}"`);
    return res.status(401).json({ 
      error: 'Invalid Token', 
      details: err.inner?.message 
    });
  }
  next(err);
});

# 使用 Redis 的 ZSET 实现自动过期
def add_to_blacklist(token, expire_time):
    redis.zadd("jwt:blacklist", {token: expire_time})

def is_blacklisted(token):
    # 检查是否存在且未过期
    return redis.zscore("jwt:blacklist", token) > time.time()