JWT 鉴权落地：过期、刷新与权限边界

博客后台流量通常不大，这反而容易让人掉以轻心：随便签一个长期 Token、密钥写进仓库、只判断「请求头里有没有 Bearer」。小系统也一样会被撞库、被 XSS 偷 Token、被过期漏洞拖成事故。JWT 不是身份本身，它只是一段可验证的凭证；真正决定安全性的是签发、校验、过期与权限边界。下面按一条能真正上线的链路来讲，而不是停留在「用了某个库」的层面。

最小可行，但边界要清楚

一个够用的后台鉴权链路可以很短：

用户名密码登录，密码用 bcrypt 类算法存储
服务端签发短期 JWT（例如 24–72 小时）
管理接口统一中间件：验签、查过期、查角色
公开读接口不走 Token

中间件失败时直接 401/403，不要「尽量往下走再在业务里判断」。鉴权属于横切能力，越早失败越好排查。把「读公开内容」和「写后台资源」分到不同路由组，比在每个 handler 里复制粘贴 if 更不容易漏。

密钥必须来自环境变量，并具备轮换意识。仓库里的默认值只能用于本地；生产泄露一个长期 JWT_SECRET，等于把后台门禁交给别人。轮换时可以短暂同时接受新旧密钥，再下线旧密钥，避免所有在线编辑者瞬间掉线。

密码存储别自创哈希方案。bcrypt / argon2 这类算法自带 salt 与成本因子；你只需要管成本是否适合机器性能，以及登录失败是否有基础限流。没有限流的登录接口，是最便宜的爆破入口。

校验时到底检查什么

至少检查四件事：

签名算法与密钥是否匹配（拒绝 none 一类危险算法，并固定允许的 alg）
exp 是否过期
Token 是否指向存在且状态正常的用户（视业务而定）
角色是否满足接口要求（例如只要 admin）

「有 Token」不等于「有权限」。许多漏洞就出在第二步：开发者以为验签成功就结束了，忘了过期或角色。claims 里只放必要信息：用户 ID、角色、过期时间；不要塞邮箱验证状态、权限大数组或任何可能过期却难同步的业务状态。

JWT 无状态的代价是注销困难。用户点退出时，你可以清前端存储，但旧 Token 在过期前仍可能有效。常见缓解是缩短 TTL、引入版本号 / token_version、或维护短时间黑名单。博客后台通常缩短 TTL 就够用；若以后做「一键让所有会话失效」，再上版本号更合适：改密或禁用账号时递增版本，旧 Token 即便签名正确也会在校验时被拒。

刷新令牌要不要上？对个人博客后台，短期 access token 往往已经够。如果强行上 refresh，要单独存、单独吊销、单独设更长但不无限的生命周期，并防止刷新接口成为新的爆破点。没有吊销能力的「长期 refresh」只是换了个名字的永久通行证。

存放位置与 XSS

Bearer Token 放 localStorage 实现简单，但页面若出现 XSS，脚本可以直接读到它。HttpOnly Cookie 更能抵抗脚本读取，但要处理 CSRF、SameSite、跨域。个人博客若前后端同源反代，两种方案都可行；关键是别一边声称「我们很安全」，一边把长期 Token 暴露给任何可执行脚本。

无论哪种存放，后台页面都不要引入来路不明的第三方脚本。Markdown 预览若允许渲染原始 HTML，XSS 风险会显著上升——预览组件应默认转义，白名单放行有限标签。内容安全策略（CSP）能降低伤害面，但不是鉴权替代品。

多域名与 CORS

当你同时支持 www 与裸域时，CORS 白名单要显式包含两者及对应协议。更推荐的做法仍是同源反代：浏览器只打当前域名下的 /api，CORS 问题自然缩小。构建前端时的 NEXT_PUBLIC_API_URL 也要与实际访问协议一致，否则会出现「页面 https、接口 http」的混合内容拦截，表现为登录按钮怎么点都像没反应。

本地开发可以用代理消掉跨域；生产却把 API 指到另一个端口——这种环境不一致会让缺陷只在上线后出现。让本地也尽量走「同源路径 /api」，能少掉一整类「我机器上是好的」争论。

与业务接口的配合

登录成功只返回必要信息：Token、过期时间、基础用户资料。不要把密码哈希、内部角色细节以外的敏感字段吐到前台。后台写操作除鉴权外，还应对输入做服务端校验——鉴权解决「是谁」，校验解决「能不能这么改」。例如改文章状态、删评论，这些动作即便是管理员，也要在服务端确认目标资源存在且操作合法。

审计方面，至少记录登录失败次数与关键写操作。博客未必需要完整审计系统，但「谁在什么时候发了文章 / 通过了评论」对追责很有帮助。失败登录突然增多时，你至少能知道是不是有人在扫。

接口错误信息要对外部收敛：对外返回统一的未授权文案，对内日志保留细分原因（签名失败、过期、角色不符）。过于精确的对外报错有时会帮助攻击者探测系统。

小结

JWT 落地的关键不是选哪个库，而是把凭证生命周期管起来：短过期、强校验、密钥外置、角色显式、同源优先。系统可以很小，门禁标准不必跟着变小。先把这条链路做对，后面无论是加刷新令牌，还是加二次验证，都有干净的挂载点。安全不是一次性功能，是你每次加写接口时仍愿意遵守的默认姿势。