JWT 认证机制详解：安全实现用户登录

JWT 结构

JWT 由三部分组成：

• Header：算法和令牌类型
• Payload：声明和数据
• Signature：签名验证

格式：xxxxx.yyyyy.zzzzz

生成 JWT

const jwt = require("jsonwebtoken");

const token = jwt.sign(
  { userId: 123, role: "admin" },
  "secret-key",
  { expiresIn: "1h" }
);

验证 JWT

try {
  const decoded = jwt.verify(token, "secret-key");
  console.log(decoded);
} catch (err) {
  console.log("Token 无效");
}

Express 中间件

function authMiddleware(req, res, next) {
  const token = req.headers.authorization?.split(" ")[1];
  try {
    req.user = jwt.verify(token, "secret-key");
    next();
  } catch (err) {
    res.status(401).json({ error: "未授权" });
  }
}

最佳实践

1. 使用 HTTPS
2. 设置合理过期时间
3. 使用 refresh token
4. 敏感信息不要放 payload
5. 定期轮换密钥

JWT 是现代 Web 认证的标准方案！