JWT令牌未按60秒过期问题及合规解决方案咨询

public string CreateToken(string username)
{
    var claims = new ClaimsIdentity();
    claims.AddClaim(new Claim(ClaimTypes.NameIdentifier, username));
    var tokennDescription = new SecurityTokenDescriptor()
    {
        Subject = claims,
        Expires = DateTime.UtcNow.AddSeconds(60),
        SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(this.secret), SecurityAlgorithms.HmacSha256Signature)
    };
    var tokenHandler = new JwtSecurityTokenHandler();
    var createdToken = tokenHandler.CreateToken(tokennDescription);
    return tokenHandler.WriteToken(createdToken);
}

我编写了上述C#代码生成JWT令牌，设置Expires为DateTime.UtcNow.AddSeconds(60)，但令牌并未在60秒后过期。了解到使用UTC时间可能引发冲突，添加ClockSkew = TimeSpan.Zero后问题解决，但得知该做法在实际场景中并不推荐，请问有什么实用的解决方案？

我需要令牌无论用户所处时区及设备时间如何，都能在生成后60秒准时过期。

1. 强制服务端时间精确同步 #

JWT的过期判定完全依赖验证方的服务器时间，和客户端时区、设备时间无关。只要令牌生成服务和验证服务（比如后端接口、网关）的系统时间通过NTP服务精确校准，UTC时间的使用就不会有问题。默认的ClockSkew（通常5分钟）是用来容忍服务间微小时间差的，只要时间同步到位，短有效期令牌的过期逻辑会正常触发。

2. 缩小ClockSkew到合理范围而非设为0 #

如果服务间确实存在1-2秒的时间差，可以把ClockSkew设为极小的合理值，比如2秒，既避免时间差导致的误判，又不会像设为0那样极端。验证时的配置示例：

var validationParams = new TokenValidationParameters
{
    ValidateIssuerSigningKey = true,
    IssuerSigningKey = new SymmetricSecurityKey(secret),
    ValidateIssuer = false,
    ValidateAudience = false,
    ClockSkew = TimeSpan.FromSeconds(2) // 仅容忍2秒时间差
};

tokenHandler.ValidateToken(token, validationParams, out _);

3. 同时显式设置签发时间（iat）和过期时间（exp） #

在生成令牌时添加IssuedAt字段，让验证端可以通过exp - iat直接确认令牌的预期有效期，避免因时间同步偏差导致的误判。修改生成代码：

var tokennDescription = new SecurityTokenDescriptor()
{
    Subject = claims,
    IssuedAt = DateTime.UtcNow, // 显式标记签发时间
    Expires = DateTime.UtcNow.AddSeconds(60),
    SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(this.secret), SecurityAlgorithms.HmacSha256Signature)
};

4. 客户端本地辅助校验（仅做体验优化） #

虽然核心过期判定必须在服务端完成，但可以在客户端解析令牌的exp字段（转成UTC时间），提前给用户做过期提示或本地拦截。注意：绝对不能用客户端时间做最终验证，防止用户篡改本地时间绕过校验。

内容的提问来源于stack exchange，提问作者Jorge Mantilla