在芯片和通信行业高通 CEO 安蒙最近公开表示到 2030 年全球对 token 的需求预计将增长 40 倍。这一预测并非空穴来风而是基于生成式 AI、边缘计算、物联网设备身份认证以及新型分布式应用对安全、高效的数据交换单元的巨大需求。对于开发者、架构师和技术决策者而言理解 token 技术本身、其背后的生成验证机制以及如何在高并发、低延迟的场景下实现规模化部署已经成为一项必备技能。token 在技术领域远不止是身份验证的字符串那么简单。从 JWT 到 OAuth 2.0 的访问令牌从会话令牌到 API 密钥再到区块链中的通证其本质都是某种形式的凭证或权利载体。高通所言的“token 需求激增”很大程度上指向了海量智能设备手机、汽车、XR 头显、工业传感器在边缘侧与云端进行安全身份握手、数据授权和资源访问时所需的令牌体系。这类 token 需要满足低功耗、高安全、易分发和可跨域验证等苛刻条件。本文将围绕一个可落地的技术场景展开如何从零构建一个支持海量设备并发认证的 token 服务。我们将使用 Java 和 Spring Security 框架结合 Redis 实现分布式 token 存储与验证并重点讨论 token 的生成算法、安全存储、过期策略、刷新机制以及在高并发下的性能优化和常见故障排查。整个实现会区分学习环境的最小化 demo 和生产环境的加固方案。1. 理解 token 的核心作用与关键技术选型在动手写代码之前必须先弄清楚 token 要解决的根本问题如何在无状态的网络请求中安全地传递身份和权限信息。传统的 session 机制在服务器内存中保存用户状态当系统扩展到多实例、跨地域部署时session 同步会成为性能瓶颈。token 机制将状态信息加密后直接放在客户端服务器只需验证 token 的合法性和有效性即可天然支持分布式架构。1.1 token 的常见类型与适用场景并非所有 token 都适用同一套技术方案。根据使用场景和安全性要求我们需要做出不同的技术选型。token 类型典型代表主要特点适用场景不透明令牌随机字符串服务器端存储映射关系客户端 token 无实际信息传统 Web 应用服务端完全控制自包含令牌JWT令牌本身包含声明信息签名防篡改无状态 API、单点登录、跨域认证引用令牌OAuth 2.0 访问令牌短随机字符串需查询授权服务器获取详细信息第三方授权需要实时吊销的场景加密令牌JWE令牌内容加密只有特定接收方能解密传输敏感信息如支付凭证在高通预测的海量设备认证场景中自包含的 JWT 和引用令牌各有优劣。JWT 减少了服务端存储压力但令牌大小随声明信息增长且吊销困难引用令牌需要每次验证都查询数据库或缓存但可以实时控制权限。实际项目中往往采用混合策略高频、短生命周期的操作使用 JWT敏感或需要实时吊销的操作使用引用令牌。1.2 token 安全性的三个基石无论选择哪种 token 类型安全性都依赖三个核心要素签名算法、密钥管理和传输安全。签名算法决定了 token 是否容易被伪造。HS256HMAC SHA256需要服务端保存一个密钥适合单一服务签名验证RS256RSA SHA256使用非对称加密私钥签名、公钥验证更适合微服务架构或第三方验证场景。密钥管理是生产环境最容易出问题的一环。开发阶段很多人把密钥硬编码在代码里这是严重的安全隐患。密钥必须通过环境变量、配置中心或密钥管理服务动态获取并且定期轮换。传输安全要求 token 必须通过 HTTPS 等加密通道传输避免在中间节点被窃取。同时要防范 CSRF 和 XSS 攻击导致 token 泄漏。2. 搭建 token 服务的基础框架我们将使用 Spring Boot 3.x 和 Spring Security 6.x 构建 token 服务。这两个版本在安全性、性能和对现代 token 标准的支持上都有显著改进。2.1 项目初始化与依赖配置首先通过 Spring Initializr 创建项目选择以下依赖Spring Web提供 RESTful API 支持Spring Security处理认证和授权Spring Data Redis用于 token 的分布式存储JJWTJWT 的创建和验证库Maven 的pom.xml需要包含这些依赖dependencies dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-web/artifactId /dependency dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-security/artifactId /dependency dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-data-redis/artifactId /dependency dependency groupIdio.jsonwebtoken/groupId artifactIdjjwt-api/artifactId version0.12.3/version /dependency dependency groupIdio.jsonwebtoken/groupId artifactIdjjwt-impl/artifactId version0.12.3/version scoperuntime/scope /dependency dependency groupIdio.jsonwebtoken/groupId artifactIdjjwt-jackson/artifactId version0.12.3/version scoperuntime/scope /dependency /dependencies注意 JJWT 版本选择新版本 API 与旧版本不兼容。这里使用 0.12.x 系列它支持 JDK 8 且 API 相对稳定。2.2 基础安全配置Spring Security 6.x 推荐使用基于 Lambda 的 DSL 配置。我们先创建一个安全配置类开放登录接口和 token 验证接口的访问权限。Configuration EnableWebSecurity public class SecurityConfig { Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http .csrf(csrf - csrf.disable()) // 在 API 场景下通常禁用 CSRF .authorizeHttpRequests(authz - authz .requestMatchers(/auth/login, /auth/validate).permitAll() .anyRequest().authenticated() ) .sessionManagement(session - session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)); return http.build(); } Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } }这里的关键配置是SessionCreationPolicy.STATELESS它告诉 Spring Security 不要创建和使用 HTTP Session完全依赖 token 进行状态管理。3. 实现 JWT token 的生成与验证现在进入核心部分如何生成和验证 JWT token。我们将创建一个完整的 token 服务类包含 token 生成、解析、验证和刷新功能。3.1 token 服务类设计首先定义 token 服务接口明确需要实现的功能public interface TokenService { String generateToken(String username, ListString roles); boolean validateToken(String token); String getUsernameFromToken(String token); ListString getRolesFromToken(String token); String refreshToken(String token); }对应的实现类需要处理 JWT 的签名、过期时间和声明信息Service public class JwtTokenService implements TokenService { private final String secretKey; private final long tokenValidityInSeconds; public JwtTokenService( Value(${jwt.secret}) String secretKey, Value(${jwt.expiration}) long tokenValidityInSeconds) { this.secretKey secretKey; this.tokenValidityInSeconds tokenValidityInSeconds; } Override public String generateToken(String username, ListString roles) { Claims claims Jwts.claims().setSubject(username); claims.put(roles, roles); Date now new Date(); Date validity new Date(now.getTime() tokenValidityInSeconds * 1000); return Jwts.builder() .setClaims(claims) .setIssuedAt(now) .setExpiration(validity) .signWith(SignatureAlgorithm.HS256, secretKey) .compact(); } Override public boolean validateToken(String token) { try { Jwts.parserBuilder() .setSigningKey(secretKey) .build() .parseClaimsJws(token); return true; } catch (JwtException | IllegalArgumentException e) { return false; } } Override public String getUsernameFromToken(String token) { return Jwts.parserBuilder() .setSigningKey(secretKey) .build() .parseClaimsJws(token) .getBody() .getSubject(); } Override public ListString getRolesFromToken(String token) { Claims claims Jwts.parserBuilder() .setSigningKey(secretKey) .build() .parseClaimsJws(token) .getBody(); return (ListString) claims.get(roles); } Override public String refreshToken(String token) { if (!validateToken(token)) { throw new IllegalArgumentException(Invalid token); } String username getUsernameFromToken(token); ListString roles getRolesFromToken(token); return generateToken(username, roles); } }3.2 配置参数外部化JWT 的密钥和过期时间必须通过配置文件管理绝对不要硬编码。在application.yml中配置jwt: secret: mySecretKeyWhichShouldBeVeryLongAndSecureInProduction expiration: 3600 # 1小时生产环境中jwt.secret必须通过环境变量或密钥管理服务注入并且要有足够的长度和复杂度。4. 集成 Redis 实现 token 的黑名单与分布式存储纯 JWT 方案有一个致命缺陷token 一旦签发在过期前无法主动失效。为了解决这个问题我们需要引入 token 黑名单机制而 Redis 的快速读写特性非常适合这个场景。4.1 Redis 配置与连接首先配置 Redis 连接参数spring: redis: host: localhost port: 6379 password: # 生产环境必须设置密码 database: 0 timeout: 2000ms然后创建 Redis 配置类设置序列化方式Configuration public class RedisConfig { Bean public RedisTemplateString, Object redisTemplate(RedisConnectionFactory factory) { RedisTemplateString, Object template new RedisTemplate(); template.setConnectionFactory(factory); template.setKeySerializer(new StringRedisSerializer()); template.setValueSerializer(new GenericJackson2JsonRedisSerializer()); return template; } }4.2 增强的 token 服务实现我们在原有 JWT token 服务基础上增加 Redis 黑名单功能Service public class RedisEnhancedTokenService implements TokenService { private final JwtTokenService jwtTokenService; private final RedisTemplateString, Object redisTemplate; private static final String BLACKLIST_KEY token:blacklist; public RedisEnhancedTokenService(JwtTokenService jwtTokenService, RedisTemplateString, Object redisTemplate) { this.jwtTokenService jwtTokenService; this.redisTemplate redisTemplate; } Override public String generateToken(String username, ListString roles) { return jwtTokenService.generateToken(username, roles); } Override public boolean validateToken(String token) { // 先检查是否在黑名单中 Boolean isBlacklisted redisTemplate.opsForSet().isMember(BLACKLIST_KEY, token); if (Boolean.TRUE.equals(isBlacklisted)) { return false; } return jwtTokenService.validateToken(token); } public void invalidateToken(String token) { // 将 token 加入黑名单并设置过期时间略长于 token 本身过期时间 Date expiration jwtTokenService.getExpirationFromToken(token); long ttl Math.max(0, expiration.getTime() - System.currentTimeMillis()); redisTemplate.opsForSet().add(BLACKLIST_KEY, token); redisTemplate.expire(BLACKLIST_KEY, ttl 60000, TimeUnit.MILLISECONDS); // 多保留1分钟 } // 其他方法委托给 jwtTokenService Override public String getUsernameFromToken(String token) { return jwtTokenService.getUsernameFromToken(token); } Override public ListString getRolesFromToken(String token) { return jwtTokenService.getRolesFromToken(token); } Override public String refreshToken(String token) { // 刷新 token 时将旧 token 加入黑名单 invalidateToken(token); return jwtTokenService.refreshToken(token); } }这个实现解决了 JWT 无法主动失效的问题。用户登出或需要强制 token 失效时调用invalidateToken方法即可。5. 构建完整的认证 API 端点有了 token 服务后我们需要提供 RESTful API 供客户端进行登录、验证和刷新 token。5.1 登录接口实现登录接口接收用户名密码验证成功后返回 tokenRestController RequestMapping(/auth) public class AuthController { private final TokenService tokenService; private final UserDetailsService userDetailsService; private final PasswordEncoder passwordEncoder; public AuthController(TokenService tokenService, UserDetailsService userDetailsService, PasswordEncoder passwordEncoder) { this.tokenService tokenService; this.userDetailsService userDetailsService; this.passwordEncoder passwordEncoder; } PostMapping(/login) public ResponseEntityAuthResponse login(RequestBody LoginRequest request) { try { UserDetails userDetails userDetailsService.loadUserByUsername(request.getUsername()); if (!passwordEncoder.matches(request.getPassword(), userDetails.getPassword())) { return ResponseEntity.status(HttpStatus.UNAUTHORIZED).build(); } String token tokenService.generateToken( request.getUsername(), userDetails.getAuthorities().stream() .map(GrantedAuthority::getAuthority) .collect(Collectors.toList()) ); return ResponseEntity.ok(new AuthResponse(token, Bearer)); } catch (UsernameNotFoundException e) { return ResponseEntity.status(HttpStatus.UNAUTHORIZED).build(); } } PostMapping(/validate) public ResponseEntityValidateResponse validate(RequestBody ValidateRequest request) { boolean isValid tokenService.validateToken(request.getToken()); String username null; ListString roles null; if (isValid) { username tokenService.getUsernameFromToken(request.getToken()); roles tokenService.getRolesFromToken(request.getToken()); } return ResponseEntity.ok(new ValidateResponse(isValid, username, roles)); } PostMapping(/refresh) public ResponseEntityAuthResponse refresh(RequestBody RefreshRequest request) { try { String newToken tokenService.refreshToken(request.getToken()); return ResponseEntity.ok(new AuthResponse(newToken, Bearer)); } catch (IllegalArgumentException e) { return ResponseEntity.status(HttpStatus.UNAUTHORIZED).build(); } } PostMapping(/logout) public ResponseEntityVoid logout(RequestBody LogoutRequest request) { if (tokenService instanceof RedisEnhancedTokenService) { ((RedisEnhancedTokenService) tokenService).invalidateToken(request.getToken()); } return ResponseEntity.ok().build(); } }对应的请求响应 DTO 类public class LoginRequest { private String username; private String password; // getters and setters } public class AuthResponse { private String token; private String type; // constructor, getters } public class ValidateRequest { private String token; // getter and setter } public class ValidateResponse { private boolean valid; private String username; private ListString roles; // constructor, getters }5.2 配置 JWT 认证过滤器为了让 Spring Security 能够自动从请求头中提取并验证 token我们需要创建一个 JWT 认证过滤器public class JwtAuthenticationFilter extends OncePerRequestFilter { private final TokenService tokenService; public JwtAuthenticationFilter(TokenService tokenService) { this.tokenService tokenService; } Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { String authHeader request.getHeader(Authorization); if (authHeader ! null authHeader.startsWith(Bearer )) { String token authHeader.substring(7); if (tokenService.validateToken(token)) { String username tokenService.getUsernameFromToken(token); ListString roles tokenService.getRolesFromToken(token); ListGrantedAuthority authorities roles.stream() .map(SimpleGrantedAuthority::new) .collect(Collectors.toList()); Authentication authentication new UsernamePasswordAuthenticationToken(username, null, authorities); SecurityContextHolder.getContext().setAuthentication(authentication); } } filterChain.doFilter(request, response); } }然后在安全配置中注册这个过滤器Configuration EnableWebSecurity public class SecurityConfig { private final TokenService tokenService; public SecurityConfig(TokenService tokenService) { this.tokenService tokenService; } Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http .csrf(csrf - csrf.disable()) .authorizeHttpRequests(authz - authz .requestMatchers(/auth/**).permitAll() .anyRequest().authenticated() ) .sessionManagement(session - session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)) .addFilterBefore(new JwtAuthenticationFilter(tokenService), UsernamePasswordAuthenticationFilter.class); return http.build(); } // passwordEncoder 等其他配置保持不变 }6. 高并发场景下的性能优化与压力测试当 token 服务需要应对高通预测的海量设备认证时性能优化成为关键。我们需要从多个层面确保系统能够支撑高并发请求。6.1 Redis 性能优化策略Redis 虽然是内存数据库但在高并发下仍然需要优化连接池配置默认的 Lettuce 连接池需要调整参数spring: redis: lettuce: pool: max-active: 20 # 最大连接数 max-idle: 10 # 最大空闲连接 min-idle: 5 # 最小空闲连接 max-wait: 1000ms # 获取连接最大等待时间Pipeline 批量操作当需要处理多个 token 验证时使用 pipeline 减少网络往返public boolean validateTokensInBatch(ListString tokens) { ListObject results redisTemplate.executePipelined(new RedisCallbackObject() { Override public Object doInRedis(RedisConnection connection) throws DataAccessException { for (String token : tokens) { connection.sIsMember(BLACKLIST_KEY.getBytes(), token.getBytes()); } return null; } }); // 处理批量结果 return results.stream().noneMatch(result - Boolean.TRUE.equals(result)); }6.2 JWT 验证的性能考虑JWT 验证本身是 CPU 密集型操作特别是使用非对称加密算法时。我们可以通过以下方式优化缓存公钥如果使用 RS256 算法公钥可以缓存起来避免每次验证都重新加载。提前验证在过滤器中可以先检查 token 的基本格式如长度、分段数再调用完整的验证逻辑。异步验证对于非关键路径的 token 验证可以考虑异步处理但要注意安全性权衡。6.3 压力测试与性能基准使用 JMeter 或 Gatling 进行压力测试重点关注以下指标单实例 QPS每秒查询数平均响应时间P50、P95、P99在不同并发用户数下的系统表现Redis 内存使用情况和 GC 情况典型的性能目标应该是单实例在 4 核 8G 的服务器上token 验证 QPS 达到 5000平均响应时间小于 10ms。7. 生产环境部署与安全加固学习环境的 demo 可以快速验证功能但生产环境需要额外的安全加固和运维保障。7.1 密钥管理最佳实践绝对不要将密钥提交到代码仓库。生产环境应该使用专门的密钥管理服务Configuration public class JwtConfig { Bean public String jwtSecret() { // 从环境变量或密钥管理服务获取 String secret System.getenv(JWT_SECRET); if (secret null || secret.length() 32) { throw new IllegalStateException(JWT_SECRET environment variable must be set and at least 32 characters long); } return secret; } }密钥轮换策略定期更换 JWT 签名密钥。可以采用双密钥机制新老密钥同时有效一段时间逐步过渡。7.2 监控与日志完善的监控是生产环境的必需品业务指标监控token 生成成功率token 验证成功率/失败率黑名单操作频率接口响应时间分布安全事件日志失败的登录尝试token 验证失败详情可疑的请求模式如短时间内大量验证请求Slf4j Service public class AuditableTokenService implements TokenService { private final TokenService delegate; public boolean validateToken(String token) { boolean isValid delegate.validateToken(token); if (!isValid) { log.warn(Token validation failed for token: {}, maskToken(token)); // 可以进一步记录客户端IP、时间戳等信息 } return isValid; } private String maskToken(String token) { if (token null || token.length() 8) { return ***; } return token.substring(0, 4) *** token.substring(token.length() - 4); } }7.3 高可用架构设计单点故障是生产环境的大忌。token 服务需要设计为高可用架构Redis 集群使用 Redis Cluster 或 Sentinel 模式确保缓存层的高可用。服务多实例部署token 服务本身应该部署多个实例通过负载均衡器分发请求。数据库连接池如果涉及用户信息查询数据库连接池需要合理配置避免连接泄漏。8. 常见问题排查与解决方案在实际部署和运行过程中会遇到各种问题。以下是典型的问题场景和排查方法。8.1 token 验证失败问题排查当 token 验证频繁失败时按以下顺序排查问题现象可能原因检查方式解决方案token 验证返回无效1. token 已过期2. 签名不匹配3. token 格式错误1. 检查 token 过期时间2. 验证签名算法和密钥3. 检查 token 分段数1. 客户端重新登录2. 检查服务端密钥一致性3. 确保 token 传输完整特定用户 token 总是失败用户权限变更或账号禁用检查用户状态和权限清除相关 token要求重新认证间歇性验证失败Redis 连接问题或网络波动检查 Redis 监控和网络连接优化 Redis 配置增加重试机制8.2 性能问题排查当系统响应变慢或出现超时时检查 Redis 性能使用redis-cli --stat查看 Redis 实时状态关注内存使用、连接数和命令耗时。分析 JVM GC检查 GC 日志确认是否有频繁 Full GC。网络延迟使用ping和traceroute检查网络延迟。数据库连接池检查数据库连接池是否耗尽连接获取是否超时。8.3 安全事件响应发现安全异常时的应急处理立即吊销相关 token将可疑 token 加入黑名单。分析日志确定攻击模式和影响范围。密钥轮换如果怀疑密钥泄漏立即进行密钥轮换。通知用户要求受影响用户重新登录。9. 扩展方向与进阶优化基础的 token 服务完成后还可以根据实际需求进行多种扩展。9.1 支持多租户架构在多租户系统中不同租户可能需要独立的 token 签发和验证规则public class MultiTenantTokenService { private final MapString, TokenService tenantTokenServices; public TokenService getTokenServiceForTenant(String tenantId) { return tenantTokenServices.get(tenantId); } public String generateToken(String tenantId, String username, ListString roles) { TokenService tenantService getTokenServiceForTenant(tenantId); return tenantService.generateToken(username, roles); } }每个租户可以使用不同的签名密钥实现安全隔离。9.2 token 压缩与优化对于资源受限的 IoT 设备token 大小成为重要考量。可以考虑使用更紧凑的编码如 MessagePack 代替 JSON减少声明信息只保留必要字段使用更短的签名算法如 EdDSA9.3 无感刷新机制为了提升用户体验可以实现 token 的无感自动刷新// 前端示例 async function callApiWithAutoRefresh(url, options) { let response await fetch(url, options); if (response.status 401) { // token 过期尝试刷新 const refreshResponse await refreshToken(); if (refreshResponse.ok) { // 使用新 token 重试原请求 options.headers.Authorization Bearer ${refreshResponse.token}; response await fetch(url, options); } } return response; }后端需要配合提供刷新接口和适当的刷新 token 生命周期管理。构建一个能够应对 40 倍需求增长的 token 服务关键在于理解不同场景下的技术权衡建立完善的监控运维体系并具备快速响应安全事件的能力。从简单的 JWT 实现到支持海量并发的高可用架构每一步都需要扎实的技术决策和工程实践。实际项目中还要根据具体的业务需求、安全等级和性能要求对上述方案进行适当的调整和强化。