请描述在 AI 万能视频下载总结器项目中，JWT 认证的具体实现流程是怎样的？
考察说明
考察候选人对 JWT 认证机制的理解，以及在实际项目中的应用和实现细节。
回答思路
- 【回答框架 1】JWT 认证的核心是使用 JSON Web Token 进行无状态身份验证。流程通常包括：用户登录时，服务器验证用户名和密码，成功后生成一个包含用户身份信息和过期时间的 JWT 签名令牌，并返回给客户端。客户端在后续请求中携带该令牌，通常放在 HTTP 请求头的 Authorization 字段中。
- 【回答框架 2】服务器接收到请求后，首先从请求头提取 JWT，然后使用密钥验证签名的有效性，并检查令牌是否过期。如果验证通过，则从令牌中解析出用户身份信息，并允许访问受保护的资源。如果验证失败，则返回 401 未授权错误。
- 【回答框架 3】在项目中实现 JWT 认证，可能需要选择合适的库或框架，例如使用 jsonwebtoken（Node.js）或 PyJWT（Python）。需要定义密钥的存储方式，通常使用环境变量或密钥管理服务，确保密钥安全。同时，需要考虑令牌的过期时间，以及如何处理过期的令牌，例如通过刷新令牌机制。
- 【回答框架 4】安全方面需要注意 JWT 的签名算法，推荐使用 RS256 等非对称算法，或者 HS256 对称算法。密钥应足够复杂且定期更换。此外，JWT 不像 session 那样可以主动失效，因此在处理用户注销或权限变更时，可能需要额外的策略，如黑名单机制。
- 【回答框架 5】在项目中，可能还需要实现中间件来统一处理 JWT 验证，以便在多个受保护的路由上复用。同时，要确保不会将敏感信息直接放入 JWT 的 payload 中，因为 JWT 默认只是 Base64 编码，并非加密，任何人都可以解码查看内容。
- 【关键点 1】JWT 是无状态认证机制，服务器不保存会话状态。
- 【关键点 2】JWT 由 Header、Payload、Signature 三部分组成，签名用于防止篡改。
- 【关键点 3】验证过程包括签名校验和过期时间检查。
- 【关键点 4】密钥管理是安全性的关键，应妥善保管。
- 【关键点 5】不应在 payload 中放置敏感数据，因为 JWT 是 Base64 编码，可被解码。
- 【易错点 1】直接将敏感信息（如密码）放入 JWT payload，导致信息泄露。
- 【易错点 2】使用弱密钥或硬编码密钥，导致安全性降低。
- 【易错点 3】忽略过期时间验证，导致已过期的 token 仍被接受。