JWT 认证详解：现代 Web 安全实践

什么是 JWT？

JWT（JSON Web Token）是一种开放标准，用于在网络应用间安全传输信息作为 JSON 对象。

JWT 结构

header.payload.signature

• Header：算法和 token 类型
• Payload：声明（用户信息、过期时间等）
• Signature：签名验证

工作流程

1. 用户登录 → 服务器验证
2. 服务器生成 JWT → 返回客户端
3. 客户端存储 JWT（localStorage/cookie）
4. 后续请求携带 JWT → 服务器验证
5. 验证通过 → 返回数据

后端实现（Node.js）

const jwt = require('jsonwebtoken');

// 生成 token
function generateToken(user) {
  return jwt.sign(
    { userId: user.id, email: user.email },
    process.env.JWT_SECRET,
    { expiresIn: '7d' }
  );
}

// 验证中间件
function authMiddleware(req, res, next) {
  const token = req.headers.authorization?.split(' ')[1];
  
  if (!token) {
    return res.status(401).json({ error: '未授权' });
  }
  
  try {
    const decoded = jwt.verify(token, process.env.JWT_SECRET);
    req.user = decoded;
    next();
  } catch (err) {
    return res.status(401).json({ error: 'Token 无效' });
  }
}

前端使用

// 登录
async function login(email, password) {
  const res = await fetch('/api/login', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ email, password })
  });
  
  const { token } = await res.json();
  localStorage.setItem('token', token);
}

// 请求携带 token
async function fetchProtectedResource() {
  const token = localStorage.getItem('token');
  const res = await fetch('/api/protected', {
    headers: {
      'Authorization': `Bearer ${token}`
    }
  });
  return res.json();
}

安全最佳实践

1. 使用 HTTPS
2. Token 设置合理过期时间
3. 敏感操作需要重新验证
4. 实现 Token 刷新机制
5. 考虑使用 HttpOnly Cookie

JWT 是无状态认证的优秀方案，但要注意安全实施！