如何彻底解决401未能读取到有效token的认证问题

1次阅读

共计 2230 个字符，预计需要花费 6 分钟才能阅读完成。

401 未授权错误是前后端分离架构中的高频问题，其核心在于认证凭证失效。以下是典型场景：

Token 过期：JWT 默认无状态，过期后需重新获取
格式错误 ：Authorization 头未按Bearer {token} 规范传输
签名验证失败：服务端密钥变更或 token 被篡改
跨域问题 ：CORS 配置未包含Authorization 头
双 Token 冲突：同时使用 access_token 和 refresh_token 时逻辑混乱

方案	优点	缺点	适用场景
JWT	无状态、易扩展	无法主动失效	分布式微服务
OAuth2	标准化流程、权限粒度细	实现复杂	第三方授权
Session	服务端可控性强	有状态、难扩展	传统单体应用

技术选型建议：
– 内部系统推荐 JWT + 短时效 access_token + 长时效 refresh_token
– 对外 API 建议 OAuth2.0 + PKCE 增强安全性

// 生成 Token
const jwt = require('jsonwebtoken');
const generateToken = (userId) => {
  return jwt.sign({ sub: userId},
    process.env.JWT_SECRET,
    {expiresIn: '15m'} // 短时效 access token
  );
};

// 中间件验证
const authenticate = (req, res, next) => {const authHeader = req.headers['authorization'];
  const token = authHeader?.split(' ')[1]; // 提取 Bearer token

  if (!token) return res.sendStatus(401);

  jwt.verify(token, process.env.JWT_SECRET, (err, user) => {if (err) {
      // 细分错误类型
      if (err.name === 'TokenExpiredError') {return res.status(401).json({code: 'TOKEN_EXPIRED'});
      }
      return res.sendStatus(403);
    }
    req.user = user;
    next();});
};

@Configuration
@EnableAuthorizationServer
public class AuthConfig extends AuthorizationServerConfigurerAdapter {

  @Override
  public void configure(ClientDetailsServiceConfigurer clients) throws Exception {clients.inMemory()
      .withClient("web-app")
      .secret(passwordEncoder.encode("secret"))
      .authorizedGrantTypes("refresh_token", "password")
      .scopes("read", "write")
      .accessTokenValiditySeconds(900); // 15 分钟
  }

  @Bean
  public TokenStore tokenStore() {return new JwtTokenStore(jwtAccessTokenConverter());
  }

  @Bean
  public JwtAccessTokenConverter jwtAccessTokenConverter() {var converter = new JwtAccessTokenConverter();
    converter.setSigningKey("base64-encoded-secret");
    return converter;
  }
}