能否在类代码中硬编码邮箱密码而非存入数据库用于生成JWT令牌？

技术层面该方案完全可运行，但强烈不建议在生产环境使用，硬编码认证凭据存在明确的安全缺陷：

• 代码一旦泄露（比如提交到公共代码仓库、调试日志外泄、人员流动带走代码），所有认证凭据、JWT签名密钥会完全暴露，攻击者可以直接伪造任意合法身份的JWT令牌，完全绕过认证逻辑
• 凭据维护成本极高，每次更换密码、调整可用账号、轮换JWT密钥都需要修改代码、重新编译部署全量服务，无法做到动态热更新
• 多环境部署适配性差，开发、测试、生产环境无法灵活使用不同的认证凭据，很容易出现测试凭据泄露影响生产服务的问题
  该方案仅适合本地快速调试、临时功能Demo这类非生产场景临时使用，正式上线请替换为环境变量注入、加密配置存储等更安全的凭据管理方案。

你只需要将邮箱、密码、JWT签名密钥定义为对应工具类的私有静态常量，在类内部的凭据校验、JWT生成逻辑中直接调用即可，不需要将凭据暴露给外部类。
以Java后端常见的JWT工具类实现为例：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;

public class JwtTokenProvider {
    // 硬编码的认证凭据，定义为私有静态常量，禁止外部直接访问
    private static final String ALLOWED_EMAIL = "admin@local.dev";
    // 注意：哪怕硬编码也不要存明文密码，这里存的是密码经过BCrypt哈希后的值
    private static final String ALLOWED_PASSWORD_HASH = "$2a$10$xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";
    private static final String JWT_SIGN_SECRET = "your-jwt-signature-secret-key-demo";
    private static final long EXPIRE_MILLIS = 3600_000;

    /**
     * 对外暴露的凭据校验方法，只返回校验结果，不泄露硬编码的凭据值
     */
    public boolean checkAuth(String inputEmail, String inputPassword) {
        // 校验邮箱匹配 + 输入密码的哈希值和硬编码的哈希值匹配
        return ALLOWED_EMAIL.equals(inputEmail) 
                && BCrypt.checkpw(inputPassword, ALLOWED_PASSWORD_HASH);
    }

    /**
     * 校验通过后调用内部硬编码的JWT密钥生成令牌
     */
    public String generateToken(String userEmail) {
        return Jwts.builder()
                .setSubject(userEmail)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRE_MILLIS))
                .signWith(SignatureAlgorithm.HS256, JWT_SIGN_SECRET)
                .compact();
    }
}

不同编程语言的实现逻辑一致：

• 凭据属性必须用私有访问修饰符修饰，禁止外部类直接读取、修改
• 对外只封装凭据校验、令牌生成的公共方法，不要提供返回硬编码凭据原值的接口
• 哪怕是临时测试场景，也不要硬编码明文密码，至少要存储密码的单向哈希值，校验时比对哈希结果即可

补充提示：如果后续要迁移到更安全的凭据存储方案，只需要把类里读取硬编码常量的逻辑替换成读取环境变量、配置中心的逻辑即可，上层业务的调用逻辑不需要改动，迁移成本很低。

内容的提问来源于stack exchange，提问作者Mizanur Rahaman