如何彻底解决401无效的token问题：从原理到实战的JWT验证方案

1次阅读

共计 2860 个字符，预计需要花费 8 分钟才能阅读完成。

JWT 验证失败通常由以下原因导致（按发生频率排序）：

过期：超过 exp 声明的时间戳（生产环境 80% 的 401 来源于此）
签名无效 ：密钥不匹配或签名算法被篡改
令牌篡改 ：payload 被修改后未重新签名
提前失效 ：服务端主动将 token 加入黑名单

优点：实现简单，安全性最高
缺点：用户体验差，需要频繁登录

// 生成 15 分钟有效期的 token
Jwts.builder()
    .setExpiration(new Date(System.currentTimeMillis() + 900_000))
    // ... 其他声明

优点：平衡安全性与用户体验
缺点：需要维护 refresh_token 存储

// 刷新令牌示例
@PostMapping("/refresh")
public ResponseEntity<?> refreshToken(@Valid @RequestBody RefreshRequest request) {
    // SECURITY NOTE: 必须验证 refresh_token 的签名和有效期
    if (!jwtUtil.validateToken(request.getRefreshToken())) {throw new InvalidTokenException();
    }
    // ... 生成新 access_token
}

优点：无状态实现，适合分布式系统
缺点：实现复杂度最高

// 双 token 校验逻辑
public boolean validateAccessToken(String accessToken, String refreshToken) {
    // 校验 access_token 签名
    // 如果过期但 refresh_token 有效，允许短期续期
}

public class JwtAuthenticationFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, 
                                    HttpServletResponse response,
                                    FilterChain chain) {
        try {String token = extractToken(request);
            if (token != null && jwtUtil.validateToken(token)) {Authentication auth = jwtUtil.getAuthentication(token);
                SecurityContextHolder.getContext().setAuthentication(auth);
            }
        } catch (ExpiredJwtException ex) {
            // SECURITY NOTE: 过期 token 必须立即失效
            response.sendError(HttpStatus.UNAUTHORIZED.value(), "Token expired");
            return;
        }
        chain.doFilter(request, response);
    }
}

@RestController
public class AuthController {
    // 记录最近刷新时间
    private final Map<String, Long> lastRefreshTime = new ConcurrentHashMap<>();

    @PostMapping("/refresh")
    public ResponseEntity<TokenResponse> refreshToken(@RequestHeader("Authorization") String bearerToken) {String username = jwtUtil.getUsernameFromToken(bearerToken);
        long currentTime = System.currentTimeMillis();

        // 指数退避检查
        if (lastRefreshTime.containsKey(username) && 
            currentTime - lastRefreshTime.get(username) < 30_000) {throw new TooManyRefreshAttemptsException();
        }

        lastRefreshTime.put(username, currentTime);
        return ResponseEntity.ok(generateNewTokenPair(username));
    }
}

算法	签名耗时 (ms)	验签耗时 (ms)
HS256	0.12	0.08
RS256	1.45	0.92
ES256	2.31	3.17

 内存用量 = (平均 token 长度 + 50 字节 Redis 开销) × 最大在线用户数 × 黑名单留存时间 (小时) × 3600

时区问题 ：始终使用 UTC 时间戳，避免服务器时区差异
```
// 正确做法
Instant.now().atZone(ZoneOffset.UTC).toEpochSecond()
```
时钟漂移 ：NTP 服务必须配置，各节点时间差应 <30 秒

密钥轮换 ：采用 JWKS 端点动态获取公钥

# application.yml
security:
  oauth2:
    resourceserver:
      jwt:
        jwk-set-uri: https://auth.example.com/.well-known/jwks.json

泄露应急 ：立即将密钥版本号加入 token 声明
```
Jwts.builder().claim("kid", "v2")
```
黑名单优化 ：只缓存剩余有效期 >5 分钟的 token

# 测试脚本关键配置
Thread Group: 100 并发, 循环 100 次
HTTP Request: POST /refresh
    Headers:
      Authorization: Bearer ${access_token}
    Body:
      {"refresh_token": "${refresh_token}" }

@Configuration
public class TracingConfig {
    @Bean
    public Tracing tracing() {return Tracing.newBuilder()
            .localServiceName("auth-service")
            .sampler(Sampler.ALWAYS_SAMPLE)
            .build();}
}

经过三个迭代周期的优化，我们的认证服务实现了：