如何正确处理401 invalid access token or token expired错误：从原理到实践指南

1次阅读

共计 2154 个字符，预计需要花费 6 分钟才能阅读完成。

Access Token 的作用
相当于临时门禁卡，服务端用它验证客户端是否有权限访问资源。常见形式是 JWT（JSON Web Token），包含三部分：
Header（算法类型）
Payload（用户信息 + 过期时间）
Signature（防篡改校验）
Token 过期机制
通过 Payload 中的 exp 字段设置有效期（通常 30 分钟 - 2 小时），过期后需用 Refresh Token 获取新 Access Token。这是安全最佳实践——即使 token 泄露，攻击者也只能短期滥用。

硬编码测试 token：忘记替换为动态获取的 token，上线后立即失效
忽略 401 错误处理：前端直接抛出错误导致用户体验中断
刷新机制缺失：强制用户重新登录，降低留存率
本地存储不安全：将 token 直接存到 localStorage 易受 XSS 攻击

flowchart LR
    A[发起请求] --> B{Token 有效?}
    B -- 是 --> C[正常响应]
    B -- 401 --> D[尝试刷新 Token]
    D -- 成功 --> E[重试原请求]
    D -- 失败 --> F[跳转登录页]

// 存储当前刷新状态
let isRefreshing = false;
let failedQueue: Array<() => void> = [];

axios.interceptors.response.use(
  response => response,
  async error => {
    const originalRequest = error.config;

    // 只处理 401 错误且非刷新 token 请求
    if (error.response?.status === 401 && !originalRequest._retry) {if (isRefreshing) {
        // 将请求加入队列等待刷新完成
        return new Promise(resolve => {failedQueue.push(() => resolve(axios(originalRequest)));
        });
      }

      originalRequest._retry = true;
      isRefreshing = true;

      try {const newToken = await refreshToken();
        setAuthToken(newToken);

        // 重试所有积压请求
        failedQueue.forEach(cb => cb());
        failedQueue = [];

        return axios(originalRequest);
      } catch (refreshError) {
        // 刷新失败则清空用户状态
        clearAuth();
        window.location.href = '/login';
        return Promise.reject(refreshError);
      } finally {isRefreshing = false;}
    }

    return Promise.reject(error);
  }
);

import jwt from 'jsonwebtoken';

export const verifyToken = (req, res, next) => {const token = req.headers.authorization?.split(' ')[1];

  if (!token) {return res.status(401).json({message: 'Missing token'});
  }

  try {const decoded = jwt.verify(token, process.env.JWT_SECRET);
    req.user = decoded;
    next();} catch (err) {if (err.name === 'TokenExpiredError') {return res.status(401).json({ 
        code: 'TOKEN_EXPIRED', 
        message: 'Token expired' 
      });
    }
    res.status(401).json({message: 'Invalid token'});
  }
};