401 Token Expired or Incorrect：从原理到实战的认证失效解决方案

1次阅读

共计 2129 个字符，预计需要花费 6 分钟才能阅读完成。

在微服务架构和前后端分离应用中，401 错误就像个定时炸弹。我遇到过最典型的情况是：

时钟偏移问题 ：某次上线后，K8s 集群节点时钟比 NTP 服务器快了 3 分钟，导致刚签发的 JWT(JSON Web Token) 被判定为 ” 未来生效 ”
密钥轮换事故：安全团队轮换 RSA 密钥时，某个 Pod 没及时拉取新证书，引发验签失败
并发续签风暴：移动端 APP 在弱网环境下，10 万个并发请求同时触发 Refresh Token 逻辑

这些场景最终都表现为401 Unauthorized，但背后机理完全不同。比如时钟问题属于 JWT 的nbf(Not Before) claim 校验失败，而密钥轮换影响的是签名验证环节。

适用于快速止血的场景，下面是 Go 语言实现示例：

const (
    maxRetry   = 3
    baseDelay  = 500 * time.Millisecond
)

func requestWithRetry(client *http.Client, req *http.Request) (*http.Response, error) {
    var lastErr error

    for i := 0; i < maxRetry; i++ {resp, err := client.Do(req)
        if err == nil && resp.StatusCode != http.StatusUnauthorized {return resp, nil}

        if resp != nil && resp.StatusCode == http.StatusUnauthorized {lastErr = fmt.Errorf("401 error after %d retries", i+1)
            break // 认证失败不应重试
        }

        delay := time.Duration(math.Pow(2, float64(i))) * baseDelay
        time.Sleep(delay)
        lastErr = err
    }
    return nil, lastErr
}

关键点：

对非 401 错误使用指数退避算法
401 错误立即终止重试避免死循环
通过 http.Client.Timeout 控制单次请求超时

当多个服务实例同时检测到 Token 过期时，需要防止重复刷新。以下是 Redis Lua 脚本实现：

-- KEYS[1]: refresh_token 锁 key
-- ARGV[1]: 锁持有时间(ms)
-- ARGV[2]: 客户端标识
local key = KEYS[1]
if redis.call("SET", key, ARGV[2], "NX", "PX", ARGV[1]) then
    return 1 -- 获取锁成功
else
    return 0 -- 锁已被占用
end

配合 Go 代码使用：

func refreshToken(rt string) (string, error) {
    lockKey := "lock:refresh:" + rt
    clientID := uuid.New().String()

    // 尝试获取分布式锁
    locked, err := redis.Eval(script, []string{lockKey}, 
        5000, clientID).Bool()
    if err != nil || !locked {return "", errors.New("refresh in progress")
    }
    defer redis.Del(lockKey) // 确保锁释放

    // 执行实际刷新逻辑
    return authServer.Refresh(rt)
}

通过 Service Mesh 将认证下沉到基础设施层：

Ingress 网关统一校验 JWT
通过Authorization header 将 claims 透传给业务服务
业务代码无需处理 Token 解析

我们曾因跨机房时钟偏差导致 JWT 有效期校验不一致。解决方案：

所有服务器强制启用 chronyd 服务
K8s Pod 添加 hostNetwork: true 以共享主机时钟
JWT 校验时增加 1 分钟缓冲时间

密钥轮换时务必：

先将新密钥写入配置中心
等待所有节点拉取完成（可通过健康检查接口确认）
再禁用旧密钥

Safari 的隐私浏览模式会：

阻止 LocalStorage 写入
清除 SessionStorage 标签页关闭时

解决方案：检测存储可用性后降级为内存存储

function isStorageAvailable() {
    try {localStorage.setItem("test", "1");
        localStorage.removeItem("test");
        return true;
    } catch (e) {return false;}
}