如何正确处理422无效token：从原理到实战避坑指南

1次阅读

没有评论

共计 1656 个字符，预计需要花费 5 分钟才能阅读完成。

HTTP 422 状态码（Unprocessable Entity）在 token 验证场景中通常意味着服务器理解请求但拒绝处理。常见触发条件包括：

过期 token：超过了 JWT 的 exp 声明时间
格式错误：Base64 解码失败或 JSON 结构不符合 RFC 7519 标准
签名无效：HS256/RS256 签名验证不通过
权限变更：用户角色更新但旧 token 未失效

这类错误比 401 更复杂——客户端不能简单重试，必须重新获取有效凭证。根据 RFC 6749 第 5.2 节，OAuth2.0 规范明确要求此时返回 invalid_token 错误标识。

优点：无需查库，通过签名算法本地验证
缺点：无法主动失效，依赖短过期时间

优点：可通过/introspect 端点实时检查状态
缺点：每次请求都需要远程验证，性能开销大

优点：服务端可主动清除会话
缺点：需要分布式会话存储

// 基于 Spring Security 5.7 的 JWT 过滤器
public class JwtAuthenticationFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, 
                                    HttpServletResponse response,
                                    FilterChain chain) {
        try {String token = extractToken(request);
            if (token != null) {
                // RSA 公钥验证（需配置密钥轮换）Jws<Claims> claims = Jwts.parserBuilder()
                    .setSigningKey(getCurrentPublicKey()) // 密钥版本管理
                    .build()
                    .parseClaimsJws(token);

                // 检查过期时间（解决时钟漂移）if (claims.getBody().getExpiration().before(new Date(System.currentTimeMillis() - CLOCK_SKEW))) {throw new ExpiredJwtException(...);
                }

                // 构建认证对象
                Authentication auth = new UsernamePasswordAuthenticationToken(...);
                SecurityContextHolder.getContext().setAuthentication(auth);
            }
            chain.doFilter(request, response);
        } catch (JwtException ex) {
            // 统一处理 422 错误
            response.setStatus(HttpStatus.UNPROCESSABLE_ENTITY.value());
            response.getWriter().write(
                "{\"error\":\"invalid_token\",\"message\":\"" + 
                ex.getMessage() + "\"}");
        }
    }
}

使用 JMH 对 1000 次验证进行基准测试（MacBook Pro M1）：