我正在创建访问、刷新令牌逻辑，并且我想检查访问令牌是否有效（未编辑），即使它已过期。如果令牌过期，Go 将返回错误并使令牌无效。因此，我检查给定的错误是否与 ErrTokenExpired 匹配。

我可以 100% 确定如果令牌无效，那么 err 不会为零，这样我就可以删除 if !tkn.Valid{... 吗？

这通常是一个好的方法还是编辑的令牌可以通过我的验证？

func VerifyJWT(jwtString, secret string) (*jwt.Token, *Claims, error) {
    claims := &Claims{}
    tkn, err := jwt.ParseWithClaims(jwtString, claims, func(token *jwt.Token) (interface{}, error) {
        return []byte(os.Getenv(secret)), nil
    })
    return tkn, claims, err
}

_, accClaims, err1 := VerifyJWT(req.Access, "ACCESS_SECRET")
    if err1 != nil && err1.Error()[:16] != jwt.ErrTokenExpired.Error()[:16] {
        WriteJSON(w, http.StatusBadRequest, APIError{Error: "invalid token access" + err1.Error()})
        return
    }

正确答案

如果您的代码中有两点，jwt 令牌是安全的：

1-选择好的算法
2-创建随机密钥

如果token改变或者超时，这两个选择可以帮助你，VerifyJWT返回错误！

注意：总是需要检查错误，并向客户端返回良好的响应。

注意（改进您的代码）：要检查一个错误是否为 ErrTokenExpired，请使用 errors pkg。

你的例子：

// import "errors"


_, accClaims, err := VerifyJWT(req.Access, "ACCESS_SECRET")
if errors.Is(err, jwt.ErrTokenExpired) {
        // continue progress
}

if err != nil {
    WriteJSON(w, http.StatusUnauthorized, APIError{Error: err.Error()})
    return
}