JWT 处理库深度对比：express-jwt、jose、jsonwebtoken、jwa 与 passport-jwt

在现代 Web 应用中，JSON Web Token（JWT）是实现无状态身份验证的核心技术。Node.js 生态中有多个处理 JWT 的库，但它们的定位、能力与适用场景差异显著。本文将从实际工程角度，深入剖析 express-jwt、jose、jsonwebtoken、jwa 和 passport-jwt 的技术特性、使用方式与选型建议。

🔑 核心功能定位：谁做什么？

这些库并非处于同一抽象层级。有些是底层加密原语，有些是高层框架中间件，理解其职责边界是选型的第一步。

• jwa：仅提供 签名算法（如 HS256、RS256）的原始实现，不处理 JWT 结构解析或验证逻辑。
• jsonwebtoken：完整的 JWT 签发与验证工具，支持常见算法、过期检查、自定义声明等，但依赖 jwa 或类似库处理底层加密。
• jose：全面支持 JWS、JWE、JWK、JWT 等 IETF 标准 的现代库，兼容性广，安全性高，API 设计更贴近规范。
• express-jwt：专为 Express 设计的 中间件，内部通常调用 jsonwebtoken，用于自动解析请求头中的 JWT 并挂载到 req.user。
• passport-jwt：Passport 认证策略的一种，用于 集成 JWT 到 Passport 的认证流程 中，适合已有 Passport 架构的项目。

⚠️ 注意：jwa 已被标记为 deprecated（见 npm 页面），官方建议迁移到 jose 或 node:crypto。新项目不应再使用 jwa。

🧪 签发与验证：代码层面的差异

使用 jsonwebtoken 签发和验证

const jwt = require('jsonwebtoken');

// 签发
const token = jwt.sign({ id: 123, role: 'user' }, 'secret', { expiresIn: '1h' });

// 验证
try {
  const payload = jwt.verify(token, 'secret');
  console.log(payload); // { id: 123, role: 'user', iat: ..., exp: ... }
} catch (err) {
  console.error('Invalid token');
}

使用 jose 签发和验证（现代 API）

import { SignJWT, jwtVerify } from 'jose';

// 签发（需使用 CryptoKey）
const secret = new TextEncoder().encode('secret');
const token = await new SignJWT({ id: 123, role: 'user' })
  .setProtectedHeader({ alg: 'HS256' })
  .setIssuedAt()
  .setExpirationTime('1h')
  .sign(secret);

// 验证
try {
  const { payload } = await jwtVerify(token, secret);
  console.log(payload);
} catch (err) {
  console.error('Invalid token');
}

使用 express-jwt 作为中间件

const express = require('express');
const jwt = require('express-jwt');

const app = express();

app.use(
  jwt({ secret: 'secret', algorithms: ['HS256'] }).unless({ path: ['/login'] })
);

app.get('/profile', (req, res) => {
  // req.user 已自动填充
  res.json(req.user);
});

使用 passport-jwt 集成到 Passport

const JwtStrategy = require('passport-jwt').Strategy;
const ExtractJwt = require('passport-jwt').ExtractJwt;

passport.use(new JwtStrategy({
  jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
  secretOrKey: 'secret'
}, (payload, done) => {
  // 自定义用户查找逻辑
  User.findById(payload.id, (err, user) => {
    if (err) return done(err, false);
    if (user) return done(null, user);
    else return done(null, false);
  });
}));

app.get('/profile', passport.authenticate('jwt', { session: false }), (req, res) => {
  res.json(req.user);
});

jwa（已弃用）示例（仅作参考）

// 不推荐在新项目中使用
const jwa = require('jwa');
const hmac = jwa('HS256');
const signature = hmac.sign('header.payload', 'secret');

🔒 安全性与标准兼容性

• jose 是目前 最符合 IETF RFC 标准 的库，完整支持 JWA、JWK、JWE 等规范，对密钥管理、算法限制、令牌结构有严格校验，适合高安全要求场景。
• jsonwebtoken 虽广泛使用，但历史上存在若干安全漏洞（如算法混淆攻击），需开发者显式指定 algorithms 参数以避免风险。
• express-jwt 和 passport-jwt 的安全性取决于其底层依赖（通常是 jsonwebtoken），因此同样需注意配置。
• jwa 因不再维护，存在未修复的安全隐患，应避免使用。

🏗️ 架构集成：如何融入你的应用？

• 若你使用 Express 且需要简单 JWT 中间件 → express-jwt 提供开箱即用的体验。
• 若你已采用 Passport 进行认证 → passport-jwt 可无缝集成，复用现有认证流程。
• 若你需要 最大兼容性、未来-proof 设计或处理 JWK/JWE → jose 是首选。
• 若你追求 轻量、直接控制签发/验证逻辑 → jsonwebtoken 仍是一个可靠选择（但务必正确配置）。
• 永远不要在新项目中使用 jwa。

🔄 迁移建议

• 从 jsonwebtoken 迁移到 jose：需重写签发/验证逻辑，使用 SignJWT 和 jwtVerify，并确保密钥以 CryptoKey 形式提供。
• 从 express-jwt 迁移到 jose：可自定义中间件，用 jose 替代内部验证逻辑。

📌 总结：关键差异一览

💡 最终建议

• 新项目优先考虑 jose：它代表了 JWT 处理的现代方向，安全性强，标准兼容性好，长期维护有保障。
• 遗留系统可继续使用 jsonwebtoken：但务必显式指定 algorithms，避免使用字符串密钥以外的不安全配置。
• 框架集成按需选择：express-jwt 和 passport-jwt 本质是胶水层，其价值在于简化集成，而非提供核心能力。
• 彻底避开 jwa：它的时代已经结束。