能否在JWT的载荷中添加字节数组？

这个问题我之前踩过坑！核心原因是JWT的Payload是基于JSON构建的，而JSON本身没有原生的字节数组类型。当你直接把byte[]作为claim传入JJWT时，默认的序列化逻辑会把字节数组按某种编码转成字符串（比如JVM默认编码），这个过程如果编码不匹配，或者反序列化时处理逻辑不对，就会导致取回的字节和原数据不一致。

正确的处理思路：用Base64中转 #

既然JSON只能安全存字符串，那我们就把字节数组转成Base64格式的字符串再存入JWT，解码时再把Base64字符串转回字节数组——这是一种无损、通用的字节转字符串方式，完全能避免编码问题。

完整示例代码 #

生成JWT（编码过程）

import java.util.Base64;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

// 你的原字节数据
byte[] originalBytes = "test".getBytes();
// 转成Base64字符串
String base64Encoded = Base64.getEncoder().encodeToString(originalBytes);

// 构建并生成JWT
String token = Jwts.builder()
        .claim("key", base64Encoded)
        .signWith(SignatureAlgorithm.HS256, "your-signing-secret".getBytes())
        .compact();

解析JWT（解码过程）

import java.util.Base64;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;

// 解析JWT获取claims
Claims claims = Jwts.parser()
        .setSigningKey("your-signing-secret".getBytes())
        .parseClaimsJws(token)
        .getBody();

// 取出Base64字符串并转回字节数组
String retrievedBase64 = claims.get("key", String.class);
byte[] retrievedBytes = Base64.getDecoder().decode(retrievedBase64);

// 验证一致性（会输出true）
System.out.println(java.util.Arrays.equals(originalBytes, retrievedBytes));

为什么直接存byte[]不行？ #

JJWT默认用Jackson做序列化，Jackson处理byte[]时，会尝试把它当作字符数组转成字符串，但这个过程依赖于JVM的默认编码。如果你的字节数组包含非UTF-8的字节（比如二进制文件的字节），或者序列化/反序列化时编码不统一，就会出现字节丢失、乱码的情况，最终导致前后字节不一致。

额外提醒 #

如果你的字节数据是大体积的二进制文件（比如图片、音频），虽然Base64方式可行，但会让JWT的长度增加约33%（Base64的编码开销）。这种情况下更推荐把二进制数据存在外部存储服务，JWT里只存对应的资源ID，既高效又合规。

内容的提问来源于stack exchange，提问作者nahzor