Node.js Express 中间件如何正确验证 JWT 签名？

在 Node.js Express 中间件中正确验证 JWT 签名，推荐使用 express-jwt 中间件或 jsonwebtoken 库手动校验，重点在于校验签名算法、密钥匹配性及令牌过期时间。适用场景为无状态 API 身份认证，风险边界在于密钥泄露会导致签名伪造，必须通过环境变量管理密钥。

先说结论：验证 JWT 签名需确保密钥一致、算法指定明确且处理过期错误，否则会导致身份验证失效或安全漏洞。

适合：无状态 RESTful API 认证、微服务间调用验证
先准备：安装 jsonwebtoken 或 express-jwt 库，配置环境变量存储密钥
再验证：使用有效 Token 请求受保护路由，确认返回 200 状态码且 req.user 存在

命令速用版

通过 npm 安装依赖包，确保项目中包含 JWT 处理库。

npm install jsonwebtoken express-jwt
npm install `--save-dev` dotenv

为什么会这样

JWT 签名验证的核心目的是防止令牌在传输过程中被篡改。服务端使用私钥或对称密钥对 Header 和 Payload 进行签名，中间件验证时使用相同密钥复核签名，若密钥不匹配或算法不一致，验证必然失败。

分步处理

第一步，配置密钥与算法。不要在代码中硬编码密钥，应从环境变量读取，并明确指定签名算法如 HS256 或 RS256。

const jwt = require('express-jwt');
const secret = process.env.JWT_SECRET;
app.use(jwt({ secret: secret, algorithms: ['HS256'] }).unless({ path: ['/api/login'] }));

第二步，编写错误处理中间件。express-jwt 验证失败会抛出 UnauthorizedError，需全局捕获并返回 401 状态码。

app.use((err, req, res, next) => {
  if (err.name === 'UnauthorizedError') {
    return res.status(401).json({ message: 'invalid token' });
  }
  next(err);
});

第三步，挂载用户信息。验证通过后，解码后的 payload 会自动挂载到 req.auth 或 req.user，后续路由可直接使用。

怎么验证是否生效

使用 curl 或 Postman 发送携带 Authorization 头的请求，观察响应状态码。

curl -H "Authorization: Bearer <valid_token>" http://localhost:3000/protected

若返回 200 且包含用户信息，说明验证通过；若返回 401 且提示 token 过期或签名无效，说明拦截机制生效。

常见坑

算法混淆是高频风险，若服务端允许 HS256 和 RS256 混用，攻击者可能伪造签名。务必在中间件配置中锁定 algorithms 数组。密钥类型不匹配也会导致失败，例如用 RSA 公钥验证 ECDSA 令牌。系统时间不同步可能触发 NotBeforeError 或 TokenExpiredError，需确保服务器时间准确。

常见问题

JWT 验证失败最常见的错误是什么？

Token 过期错误最常见。当 token 的 exp 声明时间早于当前服务器时间时，会抛出 TokenExpiredError，需重新生成 token 或调整过期策略。

如何防止 JWT 密钥泄露？

密钥必须存储在环境变量中。禁止将密钥提交至代码仓库，生产环境应使用密钥管理服务或容器注入方式传递。

express-jwt 解析后的数据存在哪里？

默认情况下，验证通过的 payload 数据会挂载到 req.auth 对象上，可通过配置 requestProperty 参数修改挂载位置。

参考来源

保护你的 API:rest-api-nodejs-mongodb 中的 JWT 身份验证最佳实践
终极 JWT 验证问题排查指南：解决 node-jsonwebtoken 失败的 10 种情况
如何用 Node.js 实现一个支持 JWT 的认证中间件？
【Node.js】Node.js 入门 (八):express-jwt-CSDN 博客
Express-JWT:构建安全可靠的 Node.js 身份验证系统
node.js 使用 JWT 进行身份认证