只要你做过一年以上的 Web 开发，几乎一定撞见过它——一串长得像被彻底加密过的乱码：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkphdmEgQnJhaW5zIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ。它叫 JWT（JSON Web Token），几乎所有现代登录系统、API 鉴权、单点登录（SSO）都靠它运转。于是十个人里有九个会顺手把用户的角色、邮箱甚至手机号塞进去，心里想着"反正它是加密的嘛，别人也读不懂"。
错。这恰恰是这套体系最致命的误解。Java Brains 的 Koushik Kothagal 在那支被引用了上百万次的 JWT 概念视频里，把这件事讲得最干净利落：JWT 默认根本不加密。那串"乱码"只是 base64 编码后的明文，任何人粘到解码器里，你的 admin:true 就赤裸裸地摊在桌上。真正保