包含userID的JWT是否需要从数据库进行验证?

您的令牌已签名。如果有人在客户端更改令牌,验证将失败,服务器端框架将拒绝它。因此,您可以信任您的令牌。 当然,jwtSecret应该是只有身份验证服务器和资源服务器知道的秘密。

• 仅当您信任请求令牌的用户时,才能生成该令牌。
• 您信任令牌,只要它没有过期,并且可以使用密码进行验证。

JWT的整个想法是可以验证其中包含的声明的完整性。如果您能够成功解码该令牌,则可以确保该令牌包含您之前编码的信息。要传递格式错误的数据,还必须知道 secret 您使用来签署令牌。

有关更多信息,请阅读 this 。