一、JWT认证机制的核心价值

Token认证作为现代Web应用的核心安全机制，通过令牌替代传统Session实现无状态认证。JWT（JSON Web Token）凭借其自包含、跨域支持、标准化等特性，成为行业主流技术方案。相较于传统Session，JWT具备三大核心优势：

无状态化设计：认证信息直接编码在Token中，服务器无需存储会话数据，显著降低存储开销
跨域友好性：Token通过HTTP Header传输，天然支持分布式架构下的跨域认证
安全增强：支持数字签名、加密和过期时间控制，有效防范篡改和重放攻击

在Egg框架中集成JWT，能够快速构建符合RESTful规范的认证体系，特别适用于微服务架构和前后端分离场景。

二、Egg框架集成JWT的实现路径

2.1 环境准备与依赖安装

npm install jsonwebtoken egg-jwt --save

其中jsonwebtoken是JWT核心库，egg-jwt是Egg插件，提供更贴合框架的封装。

2.2 插件配置与中间件注册

在config/plugin.js中启用插件：

exports.jwt = {
  enable: true,
  package: 'egg-jwt'
};

配置config/config.default.js：

config.jwt = {
  secret: 'your_secret_key',  // 加密密钥
  expiresIn: '24h',           // Token有效期
  ignore: ['/api/public']     // 免认证路由
};

2.3 核心功能实现

2.3.1 Token生成服务

创建app/service/token.js：

const jwt = require('jsonwebtoken');
const Service = require('egg').Service;
class TokenService extends Service {
  generate(payload, options = {}) {
    const { secret, expiresIn } = this.config.jwt;
    return jwt.sign(payload, secret, {
      expiresIn: expiresIn,
      ...options
    });
  }
}

2.3.2 认证中间件实现

创建app/middleware/auth.js：

module.exports = (options, app) => {
  return async function auth(ctx, next) {
    const token = ctx.header.authorization;
    if (!token) {
      ctx.throw(401, 'No token provided');
    }
    try {
      const decoded = app.jwt.verify(token.split(' ')[1], options.secret);
      ctx.state.user = decoded;
      await next();
    } catch (err) {
      ctx.throw(401, 'Invalid token');
    }
  };
};

2.3.3 控制器层实现

登录接口示例：

const Controller = require('egg').Controller;
class UserController extends Controller {
  async login() {
    const { ctx } = this;
    const { username, password } = ctx.request.body;
    // 验证用户逻辑
    const user = await ctx.model.User.findOne({ username });
    if (!user || user.password !== password) {
      ctx.throw(401, 'Authentication failed');
    }
    // 生成Token
    const token = ctx.service.token.generate({
      id: user.id,
      username: user.username
    });
    ctx.body = { token };
  }
}

三、安全优化与最佳实践

3.1 密钥管理方案

采用环境变量存储密钥：process.env.JWT_SECRET
定期轮换密钥（建议每90天）

生产环境使用RSA非对称加密：

config.jwt = {
secret: {
  public: fs.readFileSync('./public.pem'),
  private: fs.readFileSync('./private.pem')
},
algorithm: 'RS256'
};

3.2 Token防护策略

HttpOnly Cookie：防止XSS攻击窃取Token

ctx.cookies.set('token', token, {
httpOnly: true,
signed: true
});

短期有效：设置合理的过期时间（建议2小时以内）
刷新机制：实现Refresh Token延长会话

3.3 性能优化方案

使用缓存存储用户基础信息，减少JWT解析次数
对高频接口采用Token白名单机制
启用Gzip压缩传输的Token

四、常见问题解决方案

4.1 Token过期处理

实现中间件捕获TokenExpiredError：

app.use(async (ctx, next) => {
  try {
    await next();
  } catch (err) {
    if (err.name === 'TokenExpiredError') {
      ctx.status = 401;
      ctx.body = { code: 401, message: 'Token expired' };
    }
  }
});

4.2 跨域问题处理