NestJS JWT 身份验证完全指南

前言

JWT（JSON Web Token）是目前 RESTful API 身份验证领域的主流方案。其核心优势在于无状态性——服务端无需维护会话存储，token 本身即携带经签名保护的身份信息。

然而，仅理解 JWT 的基本签发与验证远远不够。在实际工程落地中，还需要系统性地考量以下问题：

• 安全边界：payload 明文可解码，哪些字段可以放，哪些绝对不能放？
• token 生命周期：单一长期 token 的泄露风险如何通过双 Token 策略加以控制？
• 主动吊销：JWT 无状态的特性与"立即登出"的业务需求之间，如何取得平衡？
• 密码安全：bcrypt 之外，为何 Argon2id 是当前更优的选择？
• 配置安全：密钥、过期时间等敏感配置，如何在启动阶段完成强类型校验而非等到运行时才暴露错误？

本文基于 @nestjs/jwt 原生方案，不引入 Passport（后者在纯 JWT 场景下引入了额外的策略抽象层，增加理解成本而收益有限）。文章从模块骨架搭建出发，逐步深入到 Refresh Token Rotation、时序攻击防护、反向代理下的限流陷阱，最终给出一份覆盖 OWASP 核心要点的安全加固清单。

阅读本文需要具备 NestJS 模块化开发经验（依赖注入、守卫、装饰器），以及对 JWT 基本结构有初步认识。完成本文的实践后，你将得到一套结构清晰、类型安全的认证体系骨架，可直接在此基础上扩展 RBAC 权限模型或 OAuth2 三方登录。