Go语言实现基于JWT的用户认证：语言学习中的安全开发实践-Golang-PHP中文网

errsignatureinvalid 主要因密钥不一致或签名算法不匹配：检查key func是否返回与签发时完全一致的[]byte密钥、签发与解析是否均显式指定相同算法（如hs256）、token是否被url编码污染、header中alg字段是否匹配，以及自定义claims结构体是否正确定义json tag并匿名嵌入registeredclaims。

go语言实现基于jwt的用户认证：语言学习中的安全开发实践

jwt.ParseWithClaims 返回 `ErrSignatureInvalid` 怎么查

这不是密钥错了就是签名算法不匹配，90% 的情况是服务端用 SigningMethodHS256 签发，但解析时没显式指定算法，或传入了错误的密钥类型（比如传了 string 而不是 []byte）。

检查点列出来：

jwt.ParseWithClaims 第三个参数（key func）必须返回和签发时完全一致的密钥字节切片，不能是原始字符串
确保签发和验证用的是同一个签名算法，比如都用 jwt.SigningMethodHS256，别混用 RS256
如果 token 是前端传来的，确认它没被 URL 编码污染（比如把 + 当空格解了），建议统一用 Authorization: Bearer <token></token> 方式传
调试时可先用 jwt.DecodeSegment 拆开 header 和 payload 看 alg 字段是否匹配

自定义 `Claims` 结构体时字段名要加 `json` tag 吗

要。Go 的 jwt 库底层用 json.Unmarshal 解析 payload，字段没 json tag 就无法映射，会导致字段为空、Valid 为 false 或 panic。

常见写法示例：

type Claims struct {
    UserID   string `json:"user_id"`
    Role     string `json:"role"`
    jwt.RegisteredClaims
}

注意两点：

RegisteredClaims 必须匿名嵌入，否则标准字段（如 ExpiresAt）不会被自动识别
自定义字段的 tag 名要和生成 token 时写入的 key 严格一致，大小写、下划线都不能错

token 过期后怎么刷新——别直接重发新 token

JWT 本身不可刷新，所谓“刷新”其实是用一个短期有效的 access_token + 一个长期但受限的 refresh_token 组合实现的。直接在过期后签发新 token 属于逻辑漏洞，等于绕过了过期机制。

Go语言（Golang）1.26.0

Go语言（Golang）1.26.0版本官方下载，版本号 1.26.0，适合旧项目维护、兼容性测试和指定版本开发环境搭建。

下载

正确做法分三步：

登录成功时同时返回 access_token（比如 15 分钟）和 refresh_token（比如 7 天），后者只存服务端（Redis）、绑定设备指纹或 IP
客户端在 access_token 过期前调用 /auth/refresh，带上 refresh_token 请求新 access token
服务端验证 refresh_token 有效性、未被吊销、且与当前请求设备/IP 匹配，才签发新 token

关键点：refresh_token 一定要有存储和校验逻辑，不能只靠 JWT 自身签名验证。