登录生成的JWT Token验证失败，无法获取用户Profile问题

我在登录时生成JWT Token，想用它验证用户身份，控制获取用户Profile、更新用户Profile等路由的访问权限。但生成Token后用Postman发送请求，返回“用户无法验证，无数据返回”的结果。

认证中间件代码 #

import { NextFunction, Request, Response } from 'express';
import { AuthPayload } from '../dto/Auth.dto';
import { validateSignature } from '../utility';

declare global {
    namespace Express {
        interface Request {
            user?: AuthPayload;
        }
    }
}

export const Authenticate = async (req: Request, res: Response, next: NextFunction) => {
    const signature = await validateSignature(req);

    if (signature) {
        return next();
    } else {
        return res.json({ message: 'user not authorised' });
    }
};

Token验证逻辑代码 #

export const validateSignature = async (req: Request) => {
    const signature = req.get('Authorization');

    if (signature) {
        try {
            const payload = jwt.verify(signature.split(' ')[1], JWT_SECRET) as AuthPayload;
            req.user = payload;
            return true;
        } catch (error) {
            return false;
        }
    }
    return false
};

路由权限控制代码 #

router.use(Authenticate)

router.get("/profile" ,GetVendorProfile);

排查与解决步骤 #

• 检查请求头格式：确保Postman中Authorization头的格式为Bearer <你的Token>，如果缺少Bearer 前缀，split(' ')[1]会拿到无效值，导致验证失败。
• 确认JWT_SECRET一致性：生成Token和验证Token时使用的JWT_SECRET必须完全一致，包括大小写、特殊字符和空格，任何差异都会触发验证错误。
• 检查Token有效期：如果生成Token时设置了expiresIn参数，确认当前时间未超过Token的过期时间，过期Token会直接验证失败。
• 打印验证错误详情：在validateSignature的catch块中添加错误日志，明确失败原因，修改后的代码如下：

  catch (error) {
      console.error('JWT验证失败原因:', error);
      return false;
  }
  

• 验证全局类型声明：确保Express的Request扩展类型被正确识别，虽然这不会直接导致验证失败，但类型异常可能影响后续业务逻辑。
• 确认中间件挂载顺序：确保router.use(Authenticate)在所有需要验证的路由定义之前，否则中间件不会对后续路由生效。

内容的提问来源于stack exchange，提问作者Joshua Ndeleva