公开资源场景下JWT过期是否返回401及无效令牌处理问询

问题1：请求公开资源附带过期JWT是否返回401 #

不需要返回401。
公开资源的核心权限规则是允许无身份凭证的匿名访问，如果因为请求附带了无效/过期的JWT就拒绝访问，相当于提高了公开资源的访问门槛，不符合权限设计的预期。
中间件的校验逻辑应该按优先级分层处理：

• 首先匹配当前请求资源的权限等级：如果是需授权资源，才执行JWT强校验，过期/无效直接返回401
• 如果是公开资源，仅做JWT可选校验：凭证有效则将用户身份注入请求上下文供业务逻辑使用（比如公开帖子页展示用户的点赞状态），凭证过期/无效直接忽略，正常返回资源内容即可

问题2：规范的令牌无效告知方式 #

完全遵循HTTP语义和OAuth 2.0规范即可，分为三部分：

1. 状态码：固定返回401 Unauthorized，注意不要和403混淆：401代表身份凭证无效/缺失，403代表身份凭证有效但没有对应资源的访问权限
2. 响应头：必须携带WWW-Authenticate字段，这是HTTP规范对401响应的强制要求，JWT场景下遵循RFC6750规范的格式示例：

   WWW-Authenticate: Bearer realm="your_service_name", error="invalid_token", error_description="The access token is expired"
   

   其中error字段可按错误类型匹配标准值：令牌过期/签名错误/格式错误统一填invalid_token，未携带令牌填invalid_request，令牌权限不足填insufficient_scope
3. 响应体：返回结构化的可机读错误信息，方便前端做统一处理，示例：

   {
     "biz_code": 401001,
     "message": "访问令牌已过期，请重新登录",
     "error": "invalid_token"
   }
   

   前端可以通过error字段直接匹配逻辑，比如检测到invalid_token时自动调用刷新令牌接口，或者跳转到登录页

内容的提问来源于stack exchange，提问作者Maksim G