使用对称密钥实现JWT认证时，是否需向客户端共享密钥？

对称密钥JWT认证的核心逻辑 #

• 绝对不能向客户端共享对称密钥：对称密钥是服务端的核心安全凭证，一旦泄露，攻击者可以伪造任意有效的JWT，直接绕过认证机制，严重威胁系统安全。
• 你的理解完全正确：服务端生成签名后的JWT发送给客户端，客户端只需将JWT存储（比如本地安全存储），在后续请求中携带该JWT即可。所有JWT的有效性验证（包括签名校验、过期时间检查等）都由服务端完成，客户端无需执行任何验证操作。

关于Sanctum认证的补充说明 #

你使用Sanctum对接Flutter客户端的体验是符合标准设计的：

• Sanctum的API认证机制中，密钥仅在服务端用于生成和验证令牌，客户端只需要接收、存储并在请求时携带令牌即可，完全不需要接触密钥或执行验证逻辑。
• 这种设计既简化了客户端的开发工作，也最大程度保障了密钥的安全性，避免了客户端侧的安全风险。

内容的提问来源于stack exchange，提问作者Osama Mohammed