GUIDE深度 · Deep dive
JWT 安全注意事项
解码只是调试。服务端必须验证签名、算法、iss/aud/exp；不要把 token 当会话状态的唯一来源，也不要把长期 token 放在 localStorage 里不设过期。
服务端检查
固定算法，拒绝 alg=none/算法混淆。
验证 iss/aud/exp/nbf 和签名。
客户端
优先 HttpOnly+Secure Cookie； localStorage 易被 XSS 读取。
短过期 + 刷新/撤销机制。
常见问题
能撤销 JWT 吗？
无状态 JWT 本身不能；需要黑名单/短过期/版本号。
payload 能放敏感信息吗？
不能；它只是编码，不是加密。