JWT可替代Session实现微服务无状态认证：将用户ID、角色等信息编码进Token，由网关签发并透传至各服务，服务端仅需验签解析即可获取上下文，避免共享Session存储与跨服务耦合。

在 Ja vaScript 的使用场景里，Session 本质上是一种存在于浏览器端与单个服务端应用之间的状态维持机制，一旦进入微服务架构，它就没法天然地把用户上下文直接带到各个服务里去。原因并不复杂：每个微服务都是独立部署、独立管理会话的，传统那套基于 Cookie + Session ID 的方案到了这里就不灵了——毕竟，不可能让所有微服务都去共享同一份内存，或者共用 Redis 里的 Session 存储；即便技术上能做到，也明显背离了微服务强调的松耦合原则。

用 JWT 代替 Session 传递用户身份和权限

现在更常见的一种做法，是把用户完成认证后的关键信息——比如 user_id、role、scope——直接编码进 JWT（JSON Web Token）里，由网关或登录服务统一签发。之后的每一次请求，都携带这个 Token，通常放在 Authorization Header 中。这样一来，各个微服务只需要校验签名、解析 payload，就能拿到所需信息，不必再回头查询 Session 存储。

• 前端在登录成功后保存 JWT（推荐存 localStorage 或 httpOnly Cookie，视安全要求而定）
• 每次请求通过 fetch / axios 拦截器自动添加 Authorization: Bearer
• 微服务使用轻量库（如 jose、jsonwebtoken）校验签名并提取用户上下文
• 注意设置合理的过期时间，并配合 refresh token 实现续期

通过 API 网关统一注入用户上下文

网关（如 Kong、Nginx + Lua、或自研 Node.js 网关）可在请求入口处完成鉴权，解析 JWT 后，把用户 ID、角色等字段作为 HTTP Header（如 X-User-ID、X-User-Roles）透传给下游服务。

• 避免每个微服务重复解析 Token，提升性能和一致性
• 下游服务可直接读取 Header 获取上下文，无需再验签
• 网关还可做权限预检（如 RBAC）、租户隔离、请求打标等

前端主动传递上下文（适用于非 HTTP 场景）

当微服务间存在 WebSocket、gRPC、消息队列等非 HTTP 通信时，JWT 或 Header 不适用。这时需前端或上游服务在调用时显式携带上下文数据。

• WebSocket 连接建立时，将 Token 或用户 ID 作为 query 参数或初始 payload 发送
• 调用 gRPC 方法时，通过 metadata 传入 user_id、auth_token 等键值对
• 发 MQ 消息时，在 message headers 或 payload 中嵌入必要上下文字段（注意脱敏和最小化）

避免在客户端存储敏感上下文

Ja vaScript 运行在用户可控环境，任何存在前端的用户信息都可能被篡改或泄露。必须遵守最小权限原则：

• JWT 中只放必要字段（如 sub、roles、exp），不放手机号、邮箱等 PII 信息
• 服务端始终以 Token 签名和白名单 scope 为准，不信任前端传来的任意字段
• 高敏感操作（如支付、删账号）必须二次校验（如信息/指纹确认），不能仅依赖初始 Token

《夸克》非常好用的免费AI浏览器

下载APP查看