可否使用JWT实现REST API对接Microsoft SQL Server的用户提交及授权校验？

可行性确认 #

完全可以通过JWT实现该需求，JWT作为无状态身份凭证可完美适配中间层API的授权场景，和Microsoft SQL Server的数据写入、用户凭证核验逻辑没有兼容性冲突。

核心实现流程 #

• 首先实现JWT签发逻辑：第三方应用调用你中间层的登录/凭证校验接口，提交用户身份凭证后，中间层直接向SQL Server的用户凭证表发起核验请求，确认凭证有效后，签发包含用户ID、权限范围、过期时间等自定义声明的JWT返回给调用方。
• 后续第三方应用所有业务请求，都需要在请求头的Authorization字段携带Bearer <JWT内容>作为身份凭证。
• 中间层所有对接SQL Server的业务接口，请求进入后先校验JWT的签名有效性、是否过期，再解析JWT内的声明校验该用户是否具备对应操作的权限，校验不通过直接返回401/403状态码。
• 授权校验通过后，中间层将JWT解析出的用户身份标识和用户提交的业务数据绑定，构造参数化SQL语句提交到SQL Server执行写入，全程无需将JWT本身存入数据库。

关键注意事项 #

• JWT签名必须使用非对称加密算法（如RS256），禁止使用弱加密算法，签名密钥保存在中间层服务的环境变量中，禁止硬编码到代码里。
• 建议给JWT设置较短的过期时间，搭配刷新令牌机制降低凭证泄露后的风险。
• 核验用户凭证、写入业务数据时都必须使用SQL Server的参数化查询，避免SQL注入风险，不要直接拼接用户输入内容到SQL语句中。
• 如果需要做用户数据权限隔离，写入前可额外校验JWT内的用户权限声明和目标数据的所属权限是否匹配，避免越权写入。

参考伪代码（Node.js环境为例）：

// JWT校验中间件
const authVerify = (req, res, next) => {
  const token = req.headers.authorization?.split(' ')[1]
  if (!token) return res.sendStatus(401)
  try {
    const userInfo = jwt.verify(token, process.env.JWT_PUBLIC_KEY)
    req.user = userInfo
    next()
  } catch (error) {
    return res.sendStatus(403)
  }
}

// 数据写入接口
app.post('/user-data', authVerify, async (req, res) => {
  // 校验写入权限
  if (!req.user.perms.includes('write:user_data')) return res.sendStatus(403)
  // 绑定用户ID写入SQL Server
  await sql.query`INSERT INTO user_data (user_id, content) VALUES (${req.user.uid}, ${req.body.content})`
  res.sendStatus(201)
})

内容的提问来源于stack exchange，提问作者Mo Ya