NestJS JWT 身份验证完全指南
前言
JWT（JSON Web Token）是目前 RESTful API 身份验证领域的主流方案。其核心优势在于无状态性——服务端无需维护会话存储，token 本身即携带经签名保护的身份信息。
然而，仅理解 JWT 的基本签发与验证远远不够。在实际工程落地中，还需要系统性地考量以下问题：
- 安全边界：payload 明文可解码，哪些字段可以放，哪些绝对不能放？
- token 生命周期：单一长期 token 的泄露风险如何通过双 Token 策略加以控制？
- 主动吊销：JWT 无状态的特性与"立即登出"的业务需求之间，如何取得平衡？
- 密码安全：bcrypt 之外，为何 Argon2id 是当前更优的选择？
- 配置安全：密钥、过期时间等敏感配置，如何在启动阶段完成强类型校验而非等到运行时才暴露错误？
本文基于 @nestjs/jwt 原生方案，不引入 Passport（后者在纯 JWT 场景下引入了额外的策略抽象层，增加理解成本而收益有限）。文章从模块骨架搭建出发，逐步深入到 Refresh Token Rotation、时序攻击防护、反向代理下的限流陷阱，最终给出一份覆盖 OWASP 核心要点的安全加固清单。
阅读本文需要具备 NestJS 模块化开发经验（依赖注入、守卫、装饰器），以及对 JWT 基本结构有初步认识。完成本文的实践后，你将得到一套结构清晰、类型安全的认证体系骨架，可直接在此基础上扩展 RBAC 权限模型或 OAuth2 三方登录。
此处内容已隐藏回复后方可阅读。