zijieLeo 的树洞

JWT鉴权到底做了什么？

以前我也以为 JWT 鉴权就是“登录后发个 token，后面带着就行”。真写完整条链路才发现，JWT 只是票据长相，成熟系统真正的重心在：会话怎么续、怎么撤销、怎么限流、token 放哪里、怎么扛 XSS/CSRF。下面按“执行主体”把一条主流链路讲清楚，Redis 也放进来。