如何解决 ‘401 your authentication token has been invalidated’：从原理到实战的认证令牌管理指南

1次阅读

共计 2283 个字符，预计需要花费 6 分钟才能阅读完成。

当你在调试 API 时突然看到 401 your authentication token has been invalidated，就像被门禁系统突然拒之门外。这种错误通常发生在：

自然过期 ：JWT 默认携带exp 过期时间戳（如 24 小时），超时后立即失效
密钥轮换：运维人员更新了 JWT 签名密钥，旧令牌全部作废
多设备冲突：用户在手机 A 登录生成新令牌，导致电脑 B 的旧令牌被强制注销
主动撤销：管理员因安全事件手动将令牌加入黑名单

// 典型 JWT payload 结构
{
  "sub": "user123",
  "exp": 1735689600, // 2024-12-31 00:00:00
  "jti": "a1b2c3d4"  // 令牌唯一标识
}

维度	Session-Cookie	Token-Based (JWT)
服务端存储	需要保存 session 状态	完全无状态
扩展性	集群需要会话同步	天然支持分布式
失效控制	服务端即时注销	依赖过期时间 / 黑名单
移动端适配	Cookie 处理复杂	Header 携带更友好
CSRF 防护	需要额外 token	默认免疫

Access Token：短有效期（如 15 分钟），用于业务 API 认证
Refresh Token：长有效期（如 7 天），仅用于获取新 Access Token

// 登录接口签发双令牌
express.post('/login', (req, res) => {const accessToken = jwt.sign({sub: userId}, SECRET, {expiresIn: '15m'});
  const refreshToken = jwt.sign({sub: userId}, REFRESH_SECRET, {expiresIn: '7d'});

  // 建议 Refresh Token 通过 HttpOnly Cookie 返回
  res.cookie('refresh_token', refreshToken, {
    httpOnly: true,
    secure: process.env.NODE_ENV === 'production'
  });

  res.json({accessToken});
});

const refreshMiddleware = async (req, res, next) => {
  try {
    // 正常验证 Access Token
    const payload = verify(req.headers.authorization, SECRET);
    req.user = payload;
    return next();} catch (err) {if (err.name !== 'TokenExpiredError') throw err;

    // 从 Cookie 获取 Refresh Token
    const refreshToken = req.cookies.refresh_token;
    const {sub} = jwt.verify(refreshToken, REFRESH_SECRET);

    // 防并发刷新：使用 Redis 锁
    const lockKey = `refresh_lock:${sub}`;
    if (await redis.get(lockKey)) {return res.status(429).send('刷新请求处理中');
    }

    await redis.set(lockKey, '1', 'EX', 10); // 10 秒锁
    const newAccessToken = jwt.sign({sub}, SECRET, {expiresIn: '15m'});
    await redis.del(lockKey);

    // 返回新令牌
    res.set('X-New-Access-Token', newAccessToken);
    next();}
};

安全首选：HttpOnly + Secure Cookie（防止 XSS 窃取）
兜底方案：数据库持久化存储，支持按设备撤销

// 登出时记录失效令牌
redis.set(`blacklist:${jti}`, '1', 'EX', 60*60); // 保留 1 小时

// 验证时检查黑名单
function verifyToken(token) {const { jti} = jwt.decode(token);
  if (redis.exists(`blacklist:${jti}`)) {throw new Error('令牌已撤销');
  }
  return jwt.verify(token, SECRET);
}

分布式系统中各服务器时间可能有秒级差异，建议：
– 在 JWT 验证时添加时钟宽容度（如clockTolerance: 30s）
– 使用 NTP 服务同步集群时间