如何优雅处理401 invalid access token or token expired：从原理到实战解决方案

1次阅读

没有评论

共计 2275 个字符，预计需要花费 6 分钟才能阅读完成。

在现代 API 开发中，基于 token 的认证机制（如 JWT、OAuth2）已成为主流。然而，token 的失效问题（如 401 invalid access token 或 token expired）常常困扰开发者，主要体现在：

用户体验差 ：频繁要求用户重新登录
系统稳定性下降 ：未处理的 401 错误导致接口调用链中断
安全风险 ：可能诱发暴力破解或 token 泄露

常见的 token 失效原因包括：

自然过期（exp claim）
服务端主动撤销（如用户登出）
密钥轮换（signing key rotation）
多设备登录冲突

优点：
无状态，服务端压力小
实现简单，适合中小型应用
缺点：
refresh token 泄露风险
需要客户端配合存储

优点：
每次刷新都返回新 refresh token
支持 token 撤销跟踪
缺点：
实现复杂度高
需要持久化存储 token 状态

折中方案 ：
主 token 有效期短（如 5 分钟）
静默刷新不中断请求

// auth.middleware.js
const jwt = require('jsonwebtoken');

async function authMiddleware(req, res, next) {
  try {const token = req.headers.authorization?.split(' ')[1];
    if (!token) throw new Error('Missing token');

    // 先尝试验证主 token
    try {const decoded = jwt.verify(token, process.env.JWT_SECRET);
      req.user = decoded;
      return next();} catch (err) {if (err.name !== 'TokenExpiredError') throw err;

      // Token 过期时尝试刷新
      await handleTokenRefresh(req, res);
      return next();}
  } catch (err) {res.status(401).json({ 
      code: 'INVALID_TOKEN',
      message: err.message 
    });
  }
}

// token.service.js
const refreshTokens = new Map(); // 实际生产应使用 Redis

async function refreshAccessToken(refreshToken) {if (!refreshTokens.has(refreshToken)) {throw new Error('Invalid refresh token');
  }

  const user = refreshTokens.get(refreshToken);
  const newAccessToken = generateJWT(user);

  return {
    access_token: newAccessToken,
    expires_in: 3600 // 1 小时
  };
}

function generateJWT(user) {
  return jwt.sign({ userId: user.id},
    process.env.JWT_SECRET,
    {expiresIn: '1h'}
  );
}

HTTPS 强制 ：所有 token 传输必须加密
Refresh Token 保护 ：
设置独立密钥
绑定客户端指纹
令牌绑定 ：
关联 IP/User-Agent
短期有效（建议≤7 天）

时间同步问题 ：确保服务器间时钟偏差 <30 秒
缓存穿透 ：高频刷新请求需限流
分布式一致性 ：
Redis 集群模式
考虑 Redlock 算法

方案	平均延迟增加	QPS 影响
基础认证	0ms	0%
Token 自动刷新	12ms	5%↓
全链路加密校验	28ms	15%↓

// apiClient.js
const axios = require('axios');

const client = axios.create({baseURL: process.env.API_URL});

// 响应拦截器
client.interceptors.response.use(
  response => response,
  async error => {
    const originalRequest = error.config;

    if (error.response?.status === 401 && !originalRequest._retry) {
      originalRequest._retry = true;

      // 刷新 token
      const newToken = await refreshToken();
      storeToken(newToken);

      // 重试原请求
      originalRequest.headers.Authorization = `Bearer ${newToken}`;
      return client(originalRequest);
    }

    return Promise.reject(error);
  }
);