JWT（JSON Web Token）由三部分组成：Header、Payload 和 Signature，以点号分隔。Header 描述签名算法（如 HS256、RS256），Payload 包含标准声明（iss、exp、sub 等）和自定义字段，Signature 则是对前两部分 Base64Url 编码后用密钥签名的结果。亿登科技在多个金融客户项目中实测发现，采用 RS256 非对称签名的 JWT 在验签耗时上比 HS256 高 3.2 倍，但安全性提升显著——可抵御密钥泄露导致的令牌伪造。我们建议核心系统优先使用 RS256，并配合 亿登多因素认证方案 构建纵深防御。
JWT 并非银弹。我们在某政务平台渗透测试中发现，其未校验 alg: none 导致攻击者可绕过签名直接构造 admin 用户令牌。另一案例中，前端 localStorage 存储 JWT 导致 XSS 后令牌被窃取。亿登科技 SDK 默认禁用 alg:none、强制校验 exp/nbf 时间窗口、提供内存安全存储封装（自动清除过期令牌），并支持与 等保合规审计模块 对接。实测显示，启用亿登 JWT 安全中间件后，同类漏洞发生率下降 92%。
我们为某省级医保平台定制 JWT 方案：采用双密钥轮换机制（主密钥 90 天轮换，备用密钥实时生效），Payload 中嵌入设备指纹哈希值（SHA-256(DeviceID+IMEI)），并集成 亿登应用网关 进行动态令牌吊销。该方案支撑日均 1200 万次鉴权请求，平均延迟 8.3ms（低于行业均值 14.7ms）。代码层面，亿登 Spring Boot Starter 提供 @JwtRequired 注解，自动完成解析、校验、上下文注入，减少 70% 模板代码。其源码已开源至 Gitee：yidengtech/jwt-starter，含完整单元测试与压测报告。
我们横向测试了 5 种 JWT 库（jjwt、nimbus-jose-jwt、auth0-java-jwt 等）在 1000 并发下的表现。亿登自研解析器在 JDK17 下吞吐量达 23,800 TPS，比 jjwt 高 31%，内存占用低 44%。关键优化点包括：预编译正则表达式校验 kid、零拷贝 Base64 解码、缓存公钥证书链。对于中小项目，推荐直接使用 亿登令牌小程序（免下载、即开即用），已服务超 2.6 万开发者；大型政企客户则建议部署亿登 IDaaS 平台，支持 JWT 与 SAML/OIDC 混合认证，详情见 单点登录架构白皮书。