为何需动态获取公钥验证RSA-256 JWT？JWT优势何在？

首先要纠正一个误解：公钥不需要每次验证JWT都去获取，密钥轮换是有固定周期的，你可以将公钥（或JWKS集合）缓存一段时间（比如30分钟到几小时），只有在缓存失效或验证令牌时发现公钥不匹配，才需要去拉取最新的公钥。在这个前提下，JWT的优势依然很明显：

• 大幅降低认证服务器的负载：对比传统session鉴权（每次请求都要调用认证服务器校验会话有效性），JWT只需要偶尔拉取公钥，绝大多数请求都由服务端本地完成令牌验证和身份解析，不会把所有鉴权压力集中在认证服务器上，尤其适合微服务这类分布式架构。

• 无需额外查询用户身份/权限数据：JWT本身包含了经过签名的用户声明（比如角色、用户ID、过期时间），验证通过后可以直接使用这些数据，不用再调用认证服务器或数据库去查询用户信息，减少了跨服务调用的开销。

• 密钥轮换的安全性与便捷性：非对称加密（RSA-256）的密钥轮换本身就是JWT安全体系的一部分——只需要认证服务器更新密钥对，服务端拉取新的公钥即可，不需要在所有服务节点间同步私钥（对称加密方案的痛点），既保证了密钥安全，又降低了密钥更新的运维成本。

• 轻量级的公钥获取成本：公钥接口返回的JWKS数据量很小，且可以通过本地缓存进一步优化获取效率，和每次鉴权都要发起的会话校验请求相比，性能开销可以忽略不计。

内容的提问来源于stack exchange，提问作者Anurag