專題 C6：編碼與雜湊
JWT 安全：Token 處理最佳實踐
JWT 問題真正的根因通常不是演算法理論，而是驗證不完整、金鑰輪換混亂與客戶端儲存不當。
每次受保護請求都要做完整驗證
簽章、issuer、audience、過期時間與必要 claims 應在每次請求中一致驗證。只驗一部分，是許多繞過問題的起點。
只要 gateway、後端與 edge function 各自寫一套驗證邏輯，行為分叉幾乎是必然的。
把生命週期控制寫進設計
- 高風險操作優先使用短生命週期 access token。
- 金鑰輪換、refresh token 撤銷與失敗審計不能靠人工補救。
- 客戶端儲存方案要依威脅模型選擇，而不是把 token 隨手放到方便的位置。
實用輸入/輸出範例
輸入
來自 API Gateway 的 JWT 目標：在路由放行前完成驗證
輸出
簽章 + claims 驗證通過 寫入稽核紀錄後放行，否則拒絕