深度解析HTTP 401错误：从”无token，请重新登录”到安全认证最佳实践

1次阅读

共计 2361 个字符，预计需要花费 6 分钟才能阅读完成。

每个开发者都见过这个场景：用户正在操作时，界面突然弹出 {"code":401,"msg":"无 token，请重新登录","data":null} 的提示。这个 HTTP 401 未授权错误（Unauthorized）会打断用户流程，直接影响产品体验。统计显示，认证失败导致的用户流失率高达 23%，其中 401 错误占比 67%。

sequenceDiagram
    Client->>Server: 请求敏感数据
    Server-->>Client: 401 Unauthorized + WWW-Authenticate 头
    Client->>Server: 携带 Authorization 头
    Server-->>Client: 200 OK/403 Forbidden

维度	JWT(JSON Web Token)	Session
存储位置	客户端	服务端
扩展性	天然支持分布式	需要共享存储
安全性	依赖签名算法	依赖 Session ID 保密性
性能影响	每次请求需验证签名	需要查会话存储
典型失效场景	Token 泄露难撤回	服务端存储溢出

401 Unauthorized：身份未验证（可能是无效凭证）
403 Forbidden：身份已确认但权限不足

// JWT 生成过滤器
public class JwtAuthenticationFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, 
                                    HttpServletResponse response,
                                    FilterChain chain) {String token = resolveToken(request);
        if (token != null && jwtProvider.validateToken(token)) {Authentication auth = jwtProvider.getAuthentication(token);
            SecurityContextHolder.getContext().setAuthentication(auth);
        }
        chain.doFilter(request, response);
    }

    // 实现 Token 刷新接口
    @PostMapping("/refresh-token")
    public ResponseEntity refreshToken(@CookieValue String refreshToken) {if (!jwtProvider.validateRefreshToken(refreshToken)) {throw new InvalidJwtException("Refresh token 失效");
        }
        String newAccessToken = jwtProvider.generateAccessToken(jwtProvider.getUsername(refreshToken));
        return ok().body(new TokenResponse(newAccessToken));
    }
}

// 响应拦截器
axios.interceptors.response.use(
  response => response,
  async error => {
    const originalRequest = error.config;
    if (error.response.status === 401 && !originalRequest._retry) {
      originalRequest._retry = true;

      try {const newToken = await refreshToken();
        store.dispatch('updateToken', newToken);
        originalRequest.headers.Authorization = `Bearer ${newToken}`;
        return axios(originalRequest);
      } catch (refreshError) {router.push('/login');
        return Promise.reject(refreshError);
      }
    }
    return Promise.reject(error);
  }
);