4. JWT 生命周期管理：签发、过期、生效时间与唯一标识

JWT 并非“签发即永久有效”的令牌。在分布式鉴权体系中，必须精确控制令牌的生效窗口与唯一性，否则会引入重放攻击、令牌泄露后无法撤销等严重风险。本章围绕 JWT 载荷中的四个核心字段——iat（签发时间）、exp（过期时间）、nbf（生效时间）、jti（唯一标识）——展开实战级解析。

4.1 字段总览与语义对比

下表列出四个字段的声明位置、数据类型与核心语义，后续各节逐一深入。

4.2 iat（签发时间）—— 令牌的出生证明

iat 记录令牌的签发时刻。虽然 RFC 7519 未强制要求，但在以下场景中不可或缺：

• 令牌老化分析：通过 iat 与 exp 的差值计算令牌剩余有效期，用于客户端提前刷新。
• 黑名单时间窗口：当令牌被撤销时，仅需拒绝 iat 早于撤销时间的令牌，无需存储所有已签发令牌。
• 审计溯源：日志中记录 iat 可定位签发服务实例与签发时刻。

// 签发时设置 iat（Go 示例）
claims := jwt.MapClaims{
  "iat": time.Now().Unix(),
  "exp": time.Now().Add(1 * time.Hour).Unix(),
  "sub": "user_1001",
}
token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
signedToken, _ := token.SignedString([]byte("secret"))

4.3 exp（过期时间）—— 令牌的生命终点

exp 是 JWT 生命周期中最关键的字段。服务端在验证 JWT 时，必须检查当前时间是否已超过 exp，超过则直接拒绝。

过期策略对比：

4.4 nbf（生效时间）—— 令牌的“预热期”

nbf 定义令牌在哪个时间点之后才被接受。常用于以下场景：

• 定时任务授权：签发一个未来才生效的令牌，用于预授权某个定时操作。
• 分布式时钟补偿：签发服务与验证服务之间存在已知时钟偏差时，设置 nbf = iat + 5s 避免因时钟不同步导致令牌被提前拒绝。
• 条件激活：用户付费后，令牌在付费生效时间点才可用。

// 设置 nbf 为签发后 10 秒生效
claims["nbf"] = time.Now().Add(10 * time.Second).Unix()

4.5 jti（唯一标识）—— 防重放的最后防线

jti 是一个由签发服务生成的唯一字符串，用于标识单个 JWT。即使两个令牌的载荷完全相同，jti 也必须不同。核心用途：

• 防重放攻击：服务端维护一个已使用 jti 的集合（如 Redis Set），令牌被使用后记录 jti，后续相同 jti 的请求直接拒绝。
• 令牌撤销：将 jti 加入黑名单，比基于 iat 的撤销更精确。
• 日志关联：通过 jti 串联同一令牌在多个服务间的调用链路。

// 生成 jti（UUID v4）
import "github.com/google/uuid"

claims["jti"] = uuid.New().String()

4.6 生命周期状态机与校验流程

下图展示 JWT 从签发到废弃的完整状态转换，以及各字段在验证阶段的检查点。

4.7 实战建议与常见误区