JWT场景下认证服务器与Web服务器的区别及相关开发问题

1. 认证服务器和Web服务器的核心区别是什么？ #

两者核心差异在职责边界，是承担完全不同功能的两类服务：

• 认证服务器（Auth Server）：专职处理所有身份、权限相关逻辑，包括校验用户名密码/验证码/第三方授权凭证、签发JWT这类令牌、维护令牌作废规则、存储用户核心身份数据（仅存密码哈希、用户ID、角色标签这类和身份强相关的内容）。它不碰任何具体业务逻辑，不管商品查询、订单处理、内容发布这类业务请求。你看到配图里认证服务器发完JWT就不和Web服务器通信，本质是JWT本身是自包含的令牌，Web服务器只要提前拿到和认证服务器约定好的签名密钥（非对称加密场景下是公钥），自己就能验明JWT有没有被篡改、是不是在有效期，不需要每次收到请求都找认证服务器确认身份。
• Web服务器（也叫业务/应用服务器）：专职处理具体业务逻辑，比如返回商品列表、存储用户发布的内容、计算订单金额、处理支付流程这些。它不存用户密码这类核心身份凭证，也不负责签发令牌，只需要校验请求携带的JWT合法、对应身份有权限访问接口，就可以正常处理业务返回结果。

打个简单的比方：认证服务器就是游乐园门口的售票检票处，只负责查证件、卖门票、核验年卡资质；Web服务器就是园里的游乐设施、小卖部、演出场馆，你拿着有效门票过来，工作人员扫下票上的防伪码确认有效、符合项目准入要求，就给你提供对应服务，不用每次都打电话到门口核实你是不是真的买了票。

2. 认证服务器是否就是数据库服务器？ #

完全不是，两者属于完全不同的技术层级：

• 数据库服务器是底层的存储组件，核心作用是完成数据的持久化存储、查询、修改，本身不承载任何业务逻辑，身份数据、业务数据、日志数据都可以存在数据库中。
• 认证服务器是运行身份逻辑的上层应用服务，它确实需要连接数据库存储用户信息、令牌记录，但它本身是处理逻辑的服务，不是存储组件。

举个最常见的例子：你用Express写的认证服务跑在服务器3000端口，连接跑在3306端口的MySQL存储用户密码哈希，这个Express服务是认证服务器，MySQL才是数据库服务器，边界非常清晰。很多小项目初期不会单独部署认证服务器，会把认证逻辑、业务逻辑全写在同一个Express服务里，连接同一个数据库，这只是部署层面省资源的做法，逻辑上认证模块和数据库的职责还是完全分开的，不存在对等关系。

3. 客户端（浏览器/用户）提交用户名、密码等用户数据时，对应的处理代码应当编写在认证服务器还是Web服务器中？ #

完全看项目架构选型，两种写法都符合工程规范：

• 如果是中大型项目，已经拆分了独立部署的认证服务器：所有用户名密码校验、JWT签发的代码全部写在认证服务器上即可。客户端的登录请求直接发送给认证服务器的登录接口，比如/api/auth/login，认证服务器校验密码正确后签好JWT返回给客户端，客户端后续携带JWT直接请求Web服务器的业务接口即可。这种架构下Web服务器接触不到用户提交的明文密码，安全性更高，也支持多个内部系统（比如企业OA、商城、后台管理系统）共用同一套认证能力。
• 如果是小型项目，流量不大、也没有多系统共用登录的需求，没必要硬拆两个独立服务，把认证逻辑和业务逻辑写在同一个Express项目里完全可行。只需要在项目内部做好逻辑拆分，把登录、验签这类认证相关的路由、工具函数单独抽成独立模块，不要散落在各个业务路由里，避免漏写校验产生安全漏洞即可。

内容的提问来源于stack exchange，提问作者George Marwanqana