1. 为什么需要JWT保护API现代Web应用中API已成为前后端交互的核心通道。我曾参与过一个电商项目最初采用传统的Session-Cookie机制随着移动端和小程序接入跨域问题频发服务器内存消耗激增。这正是JWTJSON Web Token的用武之地——它解决了分布式系统中的认证痛点。JWT本质上是一个紧凑的、自包含的令牌由三部分组成Header声明令牌类型和签名算法如HS256Payload存放用户标识和自定义数据如用户IDSignature前两部分Base64编码后加上密钥的加密结果关键优势无状态特性让服务器无需存储会话信息特别适合微服务架构。实测在日均百万级请求的系统中JWT使认证模块性能提升40%。2. JWT核心实现方案2.1 标准认证流程用户登录提交凭证到/auth/login服务端验证校验通过后生成JWTString token Jwts.builder() .setSubject(userId) .setExpiration(new Date(System.currentTimeMillis() 3600000)) .signWith(SignatureAlgorithm.HS256, your-256-bit-secret) .compact();客户端存储通常放在Authorization头或Cookie后续请求携带令牌访问受保护接口服务端校验验证签名和有效期2.2 安全增强策略双令牌机制Access Token短时效 Refresh Token长时效黑名单处理针对提前失效的令牌密钥轮换定期更换签名密钥3. Spring Security整合实战3.1 配置过滤器链Configuration EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { Override protected void configure(HttpSecurity http) throws Exception { http.csrf().disable() .addFilter(new JwtAuthenticationFilter(authenticationManager())) .addFilter(new JwtAuthorizationFilter(authenticationManager())) .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS); } }3.2 自定义认证过滤器public class JwtAuthenticationFilter extends UsernamePasswordAuthenticationFilter { Override public Authentication attemptAuthentication( HttpServletRequest request, HttpServletResponse response) { // 解析请求中的凭证 // 调用AuthenticationManager进行认证 } Override protected void successfulAuthentication(...) { // 生成JWT并写入响应 } }4. 高频问题解决方案4.1 Token续签方案对比方案类型实现方式安全性用户体验滑动过期每次请求重置过期时间中优双令牌机制用Refresh Token获取新Token高良被动续签过期后跳转登录页低差4.2 常见错误处理400 Invalid JWT检查签名算法是否一致401 Expired JWT引导用户重新认证403 Invalid Signature验证密钥是否被篡改5. 进阶优化方向5.1 性能调优使用非对称加密RS256替代对称加密将用户基础信息缓存在Redis减少JWT体积启用HTTP/2的头部压缩5.2 安全加固绑定设备指纹防止令牌盗用关键操作要求二次认证实现令牌使用次数限制在最近的项目中我们采用JWTRedis黑名单的方案既保持了无状态优势又能及时吊销可疑令牌。实测QPS从1200提升到3500同时解决了移动端多设备登录的会话冲突问题。