JWT认证与授权实现指南

JWT认证与授权

一、JWT结构

JWT由三部分组成：Header（算法信息）、Payload（数据声明）、Signature（签名验证）。

二、认证流程

1. 用户登录，验证账号密码
2. 服务端生成Access Token + Refresh Token
3. 客户端存储Token（httpOnly Cookie更安全）
4. 请求时携带Token
5. 服务端验证Token并返回数据

三、安全建议

• Access Token短过期（15-30分钟）
• Refresh Token长过期（7-30天）
• 使用httpOnly Cookie防止XSS
• 敏感操作需二次验证
• Token黑名单机制

四、权限模型

RBAC（基于角色的访问控制）：用户→角色→权限，灵活且可扩展。

相关文章推荐