嘿，针对你在Spring Boot微服务架构（认证服务+资源服务）里用JWT做身份认证的场景，我整理了几个经过生产环境验证的最佳实践，适配你的现有架构：

一、令牌生命周期与刷新机制 #

• 短有效期的访问令牌：把Access Token的有效期设为15-30分钟，尽量缩短，这样就算令牌泄露，攻击者能滥用的窗口也很小。千万不要设成几小时甚至几天。
• 配合刷新令牌实现无感知登录：在认证服务生成Access Token的同时，生成一个有效期更长的Refresh Token（比如7天），将Refresh Token与用户ID绑定后存在Redis或数据库中。当Access Token过期时，客户端带着Refresh Token请求认证服务的刷新接口，换取新的Access Token，不用让用户重新输入密码。
• 刷新令牌的安全管控：用户登出、修改密码时，立刻将对应的Refresh Token标记为无效；采用滚动刷新策略——每次用Refresh Token换Access Token时，生成新的Refresh Token并替换旧的，防止Refresh Token被复用。

二、签名与密钥管理 #

• 坚持用非对称加密：既然你已经在用公钥验签，那就继续用RSA算法（比如RS256）。认证服务用私钥给JWT签名，所有资源服务用公钥验签，私钥只留在认证服务内部，避免对称加密（HS256）那种密钥泄露就全崩的风险。
• 密钥别硬编码：把公钥、私钥放在配置中心（比如Spring Cloud Config）或者专门的密钥管理服务里，启动时动态加载，绝对不要写在代码或者本地配置文件里。另外要定期轮换密钥，降低密钥泄露的影响范围。
• Payload里别放敏感数据：JWT的Payload是Base64编码的，不是加密！任何人都能解码查看内容，所以只能放用户ID、角色标识、权限编码这种非敏感的元数据，绝对不能放密码、手机号这种隐私信息。

三、资源服务的权限与验证 #

• 利用Spring Security做细粒度控制：别自己写权限判断逻辑，用Spring Security的@PreAuthorize/@PostAuthorize注解，比如：

  @PreAuthorize("hasAuthority('USER_MANAGE')")
  @PutMapping("/users/{id}")
  public ResponseEntity<User> updateUser(@PathVariable Long id, @RequestBody User user) {
      // 业务逻辑
  }
  

• 统一配置JWT验证过滤器：确保资源服务里的JWT验证过滤器全局生效，拦截所有需要认证的接口（你说框架已经帮你做了验签，那要确认这个过滤器是在Spring Security的过滤链里，而且优先级正确）。
• 返回标准HTTP状态码：对未携带令牌、令牌过期、签名无效的请求，统一返回401（未认证）；对认证通过但无权限的请求返回403（禁止访问），别返回模糊的错误信息，方便客户端处理。

四、客户端的令牌处理 #

• 用标准的请求头传递令牌：客户端必须把JWT放在Authorization请求头里，格式是Bearer {token}，这是REST API的通用规范，绝对不要把令牌放在URL参数里——URL会被日志、代理记录，泄露风险极高。
• 安全存储令牌：Web端把令牌存在HttpOnly、Secure属性的Cookie里，防止XSS攻击读取；移动端存在系统级的安全存储（比如Android的Keystore，iOS的Keychain），别存在localStorage或者明文存储里。

五、日志与监控 #

• 记录关键事件：在认证服务里记录令牌的生成、刷新、失效事件，比如“用户ID:123生成Access Token，有效期30分钟”“用户ID:123使用Refresh Token换取新令牌”；在资源服务里记录令牌验证失败的情况，比如“无效签名的令牌”“过期令牌”，方便排查问题。
• 监控异常情况：配合Prometheus、Grafana这类工具，监控令牌验证失败的频率，一旦出现异常飙升（比如大量无效令牌请求），及时告警，防止暴力破解或令牌滥用。

六、额外的安全增强 #

• 添加标准Claim：给JWT加上iss（签发者，设为你的认证服务标识）、aud（受众，设为资源服务的标识）、iat（签发时间）、exp（过期时间）这些标准字段，资源服务验签时要校验这些字段，防止其他系统签发的令牌被误用。
• 实现令牌主动失效：JWT本身是无状态的，无法主动失效，但你可以给每个JWT加jti（令牌ID），把jti和用户ID存在Redis里，当用户登出或者需要强制下线时，把对应的jti加入黑名单，资源服务验签时先检查jti是否在黑名单里。

内容的提问来源于stack exchange，提问作者J.GS.Han